Обход ограничений

Вот вам пример сказочной жадности компании. В конце 2016 года было у Samsung три сына (как в старых русских сказках): старший умный был детина, средний сын и так и сяк, младший вовсе был бюджетным представителем смартфонов имиджевой серии. Всего четыре ядра в процессоре, обрезанная до 1,5 ГБ оперативная память (да чтоб вам половинку помидора продавали до конца ваших дней!) и скромные характеристики в целом. Всё равно ведь купят — не было в продаже других недорогих и нормально собранных смартфонов с 4,7 дюймами дисплея. И, раз уж модель настолько уникальная, Samsung нужно было сэкономить на начинке, чтобы порадовать любителей не-лопат.

А Samsung, как оказалось, не экономил — любители «ковырять» прошивку (в Андроиде особо ничего не спрячешь) к своему удивлению обнаружили, что внутри стоит такой же 8-ядерный процессор Exynos 7580, как и в Galaxy A5/A7 (2016). А мифический «Exynos 7578» — это просто модификация восьмиядерника с отключенными четырьмя ядрами в прошивке! То есть, Samsung штамповал мощные процессоры и в каждом Galaxy A3 замедлял их на 80%, чтобы смартфон работал медленно, а любители Galaxy страдали и «мариновались» до состояния, в котором они согласятся взять кредит на более дорогую модель. Это ли не жадность?

В итоге энтузиасты нашли способ активировать отключенные 4 ядра и «надуть» каждое из них с 1,5 до 1,6 ГГц. Это не поднимает скорость работы «крохи»-самсунга на сенсационный уровень (урезанную оперативную память никто не отменял), но в играх и при высокой нагрузке смартфон ворочается уже не на уровне доходяги, а несколько быстрее.

Xiaomi Mi 5 и Mi 5s: меньше внутренней памяти — медленнее процессор

Среди всех производителей смартфонов Xiaomi можно считать самыми честными — мобильники с минимальной наценкой и хорошей ремонтопригодностью тому причиной. Но случаются и у «Сяомы» странности. Как связаны между собой «внутренняя флешка», то бишь, встроенный накопитель и быстродействие процессора? Правильно — никак! И ладно бы, если бы в старших версиях процессор был разогнан сверх эталона, но вместо этого Xiaomi… оставили процессор в обычном состоянии для Mi 5 и 64 и 128 ГБ памяти, и «задушили» его для модификации с 32 ГБ (Mi 5S ухудшили в версии с 3/64 ГБ).

Смартфоны оказались слишком тонким (7.3/8.3 мм), чтобы охлаждать процессор «на всех парусах»? Нет — Moto Z с 5.2 мм работал на не-«обрезанном» по частотам чипе, как и LG G6 c 7.9 мм толщины. Быть может, полноценный Snapdragon 820 был слишком дорогим удовольствием? Тоже нет — ZUK Z2 с полноценным процессором изначально был дешевле, чем флагман Xiaomi. Более того — только Mi 5 и прославился неполноценной форсировкой процессора, все остальные смартфоны на базе 820 «дракона» работали в штатном режиме. С Snapdragon 821 картина аналогичная.

Поэтому объяснений такому феномену находится всего два.

Первое: Xiaomi осваивают Эппло-Самсунговские «тактические ухудшения» смартфонов, чтобы жизнь мёдом не казалась. Вы вот сейчас улыбаетесь, но «ошибки природы» наподобие iPhone 6S с 16 гигабайтами памяти или манёвры «вам не нужна карта памяти в Galaxy S6 — мы вернули карту памяти в Galaxy S7; вам не нужна двойная камера в Galaxy S8 — мы установили двойную камеру в Note 8» побуждают многих людей дважды купить один и тот же, по сути, смартфон. Даже коллеги-китайцы из Huawei с радостью ухудшают флагманские смартфоны P-серии, чтобы потом продать их как флагманы Honor. Чем Xiaomi хуже?

Другая версия: младшие версии флагманов получают «хромые» версии процессоров. Это уже более реалистичная версия. К вашему сведению, далеко не все Snapdragon выходят с конвейера «как огурчики» — многие экземпляры процессоров в целом-то работают, но не эталонно высокой для модели частоте. А Xiaomi покупает много процессоров — больше половины от всех, которые устанавливаются в китайские смартфоны. Qualcomm при этом «не резиновый», и не очень-то успевает штамповать процессоры на несколько фронтов, чтобы и Samsung, и Xiaomi, и остальным клиентам хватало чипов. Выход — либо «есть то, что дают» (LG таким образом довольствуются старым Snapdragon 821 в G6 и приговаривают «не очень-то и хотелось этот ваш Snapdragon 835), либо покупать отбраковку и как-нибудь её продавать. Xiaomi выбирает второй вариант.

Значит ли это, что каждый базовый Mi 5 или Mi 5S неспособен работать на «полноценной» для процессора частоте? Совершенно нет! Бракованных процессоров у Qualcomm гораздо меньше, чем было выпущено Mi 5 с 3/32 ГБ и Mi 5S с 3/64 ГБ на борту. Поэтому любой желающий может найти соответствующее ядро (составная часть прошивки) для не-стандартной прошивки Cyanogenmod/Lineage OS (в родной для Xiaomi прошивке на базе оболочки MIUI такие трюки не работают, к сожалению) и раскачать процессор до заводских показателей, как у конкурентов. К примеру, Xiaomi Mi 5 можно «догнать» с «4x 1.59 ГГц + 4x 2.15 ГГц» до «4x 1.86 ГГц + 4x 2.5 ГГц». Смартфон не перегреется, не взорвётся, не сгорит. Если процессор не способен работать на такой частоте, ваш Mi 5 зависнет, перезагрузится и продолжит работать на тех гигагерцах, которые Xiaomi выбрали для него «с завода».

В любом случае, Snapdragon 820 и 821 уже не лучшие из лучших процессоры, и продолжат морально устаревать. Поэтому, если вы один из владельцев «задушенного» флагмана Xiaomi, помните о возможности выжать ещё немного производительности из своего смартфона.

Samsung Galaxy: святая война с покупателями дешёвых смартфонов из-за рубежа

Россия — щедрая душа. Настолько щедрая и богатая, что мобильники с доставкой из «малообеспеченной» Германии или ещё более «бедной» США почти всегда обходятся дешевле, чем у официальных «прямых поставщиков» в РФ. Раньше такая разница в цене мало кого смущала — возни с платной доставкой, иностранными платёжными системами наподобие PayPal и соответствием сотовых частот было больше, чем удовольствия от экономии. Но в 2017 году россияне прочно засели на Aliexpress, eBay и других крупных площадках онлайн-торговли, а русский язык, Google Play и поддержка российского LTE появилась во всех «породистых» мобильниках для Европы. Поэтому продавать Samsung Galaxy S8 за 55 тысяч рублей в России, когда его же за 38 тысяч продают с доставкой из Германии, стало проблематично.

Но Samsung давно знает о таком явлении и с удовольствием ставит «палки в колёса» особо шустрым любителям зарубежных покупок. Начиная с Galaxy S5 и Note 4 (2014 г.) смартфоны Galaxy оснащаются региональной блокировкой. То есть, получаете смартфоны из Европы, вставляете в неё российскую сим-карту и любуетесь тем, как смартфон требует код разблокировки — без него не-европейские SIM в вашем Galaxy работать не будут. Аналогично и с российскими «Самсунгами» — европейцы могут отправиться лесом, если начнут скупать дешёвые Galaxy после того, как рубль пробьёт очередное дно по отношению в евро.

Раньше добрые китайцы могли подобрать вам код разблокировки для вашего смартфона, стоило только назвать imei, а в древних моделях Galaxy региональное ограничение можно было снять с помощью перепрошивки в домашних условиях.

Как несложно догадаться, сегодня такие способы больше не работают, поэтому приходится «идти напролом». Первый способ — купить «туристическую» сим-карту, номер в которой будет приписан к одной из стран Европы (если вы купили Galaxy в Европе) или США (если купили в США). Далее с этой SIM нужно будет наговорить 6 минут (не менее пяти, то есть) за один звонок — например, позвонить на другую SIM с этим же европейским кодом, либо установить связь со службой поддержки. Кладёте трубку — смартфон разблокирован!

Либо придётся писать в представительство Samsung той страны, откуда к вам приехал смартфон. Если это Германия — открываете немецкий сайт Samsung, находите форму обратной связи и пишете на немецком (Google Translate в помощь) «Здравствуйте! Был проездом в Германии, зашёл в магазин %придумайте_какой_магазин_электроники%, удивился низкой цене на Galaxy S8 и купил его. Сейчас вернулся в Россию, а смартфон просит какой-то код разблокировки. Не могли бы вы его, пожалуйста, написать? Мой imei такой-то, вот фото квитанции о покупке» — и получите код разблокировки на свой Galaxy.

Неприятная процедура? А что вы хотели — отнимать у корейских миллиардеров деньги не так просто, как может показаться не первый взгляд.

Nexus 5X, LG G5: старым флагманам новые функции камеры не положены

В случае с камерами производители чаще не приуменьшают, а преувеличивают возможности сенсора. Помните сказки о том, что в Xiaomi Mi Max 2 такой же сенсор, как в Mi 6 и, якобы, это признак того, что бюджетная «лопата» будет фотографировать, как флагман? Вот такую «лапшу» рекламщики производят в разговоре о любом бюджетном мобильнике.

Но, если прогресса в камере между двумя моделями почти нет, но подчеркнуть, что старшая модель «круче» необходимо, в ход идут программные ухищрения. Например, жил да был LG G5 в полноценном и «кастрированном для России и Латинской Америки» (LG G5 SE) варианте. «Полноценный» G5 на базе процессора умел сохранять фото в RAW (формате-заготовке, которую можно «фотошопить» в широких пределах на компьютере, в отличие от готовой фотографии в JPG), а SE такой возможностью был обделён. Вряд ли потому, что Snapdragon 652 не «тянул» такую нагрузку в сравнении с Snapdragon 820 в «просто G5» — мы ведь помним, что LG G4 с ещё более «дохлым» Snapdragon 808 прекрасно справлялся с сохранением снимков в DNG. Энтузиасты пока не придумали, как уравнять две версии G5 программным образом.

Второй маркетинговый жест — это когда вышел LG G6 со слабо изменившейся по качеству съёмки в авто-режиме тыловой камерой, но с более крутым и доработанным за пару этапов (LG V20 — G6) приложением. И приятным для гиков ручным режимом съёмки видео. В старый LG G5 этот режим «не завезли» ни с обновлением «Android 6.0 — Android 7.0», ни с более поздними доработками. Поэтому один из владельцев просто «пришил» камеру из нового флагмана к самодельной прошивке для старого. Жаль только, что владельцы младшего G5 снова «пролетели», как фанера над Парижем. Разработчики модификаций и прошивок для LG чаще всего живут за пределами бывшего СССР и знать не знают ни о каком урезанном и не совместимом с европейскими G5 смартфоне с индексом SE.

Вообще, наплевательское отношение к владельцам старых смартфонов в обновлениях оболочки и приложений — ситуация распространённая. Никого не удивляет, что Android 6.0 для ASUS ZenFone 2 вышел поздно, устанавливался через «труднодоступные места» и был «глюкодромом». Никто не возмущается тем, что этот же Android 6.0 для мощного и качественного Samsung Galaxy Note 4 был всего лишь слегка перерисованным Android 5.1 вместо интерфейса в стиле Galaxy S6. Гораздо более обидно, когда из пары смартфонов один ухудшают «на ровном месте» сразу в момент выхода.

Я говорю о паре Нексусов — Google Nexus 5X и 6P. Камеры в них отличаются незначительно, ни в одной из них нет оптической стабилизации, но старший «Хуавеексус» отчего-то получил программную стабилизацию для съёмки видео, а в «Элджиксусе» изволь не дышать, и передвигаться по поверхности, как штатив (или Майкл Джексон), чтобы картинка в видео не «прыгала» от каждого твоего шага.

Стоит ли говорить, что это явление было искусственно созданным «маркетоложеством»? Чтобы включить стабилизацию такого же уровня, как на старшем Нексусе, достаточно было, грубо говоря, найти в прошивке строчку «включить электронную стабилизацию» и вписать туда «вкл.». И снимать/просматривать видео сразу же становилось гораздо приятнее, чем в Nexus 5X с «оптимальной, какой её создал сам Google» модификацией Android. Кто там ещё поёт о том, что только Apple городит искусственные препятствия в своих мобильниках?

Смартфоны извещают оператора, что вы раздаёте интернет по Wi-Fi

Театр с кодовым словом «ничего страшного, имеют право» разворачивался в несколько подходов. Сначала операторы начали округлять тарификацию интернет-трафика (в стиле «1,6 кг сахара — это ведь почти 2 кг»), чтобы он заканчивался у абонентов как можно быстрее. Затем убрали «бесплатные» 64 Кбит/с после исчерпания включенных в тариф гигабайт — а то всякие подлецы продолжали переписываться в мессенджерах и не хотели покупать дополнительные гигабайты до конца месяца. После этого россиянам выдали немного «амнистии» с безлимитным интернетом (без торрентов и лимитным, просто «вам должно хватить. А не хватит — обрежем газ скорость!»). Одна проблема была — нельзя было раздавать интернет со смартфона на ноутбук, другие смартфоны или вообще не семейные дачные нужды. Оно и понятно — безлимит такое сокровище, которое разбазаривать оптом не дадут.

Но вот в 2017 году безлимита уже не стало, и операторы предлагали доплачивать за раздачу лимитированного (!) ограниченного (!) интернет-трафика. МегаФон, например, собирался сделать раздачу интернета в новых тарифах «Включайся» отдельной платной опцией, но потом без дополнительной огласки поборол свой приступ жадности.

Стоп, а откуда операторы вообще знают, как и куда мы тратим свой запас интернета? В действительности, им даже не нужно проводить расследования на этот счёт, потому что смартфоны каждый раз докладывают о раздаче интернета по Wi-Fi.

На этом месте ребята, которые хорошо знакомы с принципом работы сотовой связи, начнут хихикать, но мне придётся объяснить суть «на пальцах», чтобы было понятно, о чём речь. Помимо отправки и приёма данных на вебсайты/серверы приложений, смартфон передаёт сотовой вышке много служебной информации. А «маячок», что это делает именно смартфон, называется TTL. «Время жизни пакета данных» по-научному, или единица времени, отведенная на переправку информации из устройства дальше по «интернетам». У смартфонов TTL обычно равен 64. Если Вы раздаёте интернет на компьютер, он с радостью «пережёвывает» входящую информацию, но возвращает её с TTL, равным 128 (ну, не мелочились создатели Windows, когда проектировали работу компьютера по Wi-Fi). И этот же TTL «прилетает» сотовой вышке с вашей SIM-карты сквозь смартфон. На что вышка реагирует как «у нас недополученная прибыль! Этот негодяй раздаёт интернет со смартфона!» и блокирует раздачу интернете/снимает с вашего счёта деньги.

Чтобы этого не происходило, ловкие владельцы андроидофонов научились «выравнивать» TTL так, чтобы оператору прилетала одна и та же цифра, независимо от того, сколько устройств «висят» на Wi-Fi, который вы раздаёте со смартфона.

Но операторы на этом не угомонились и вычисляют подключенный компьютер по служебным сайтам, к которым обращается (сервер, откуда Windows берёт обновления или корректирует время/прогноз погоды, например). Чтобы эта «улика» не работала, энтузиасты меняют IMEI (серийный номер смартфона) на такой же, как у Windows Phone — мобильники на базе Windows контактируют почти с такими же служебными серверами, как и компьютеры.. Вот такая «жизнь после смерти» Lumia — смартфоны почти исчезли и живут у немногочисленного количества фанатов, а их идентификаторы помогают людям пользоваться раздачей интернета.

Источник Ferra.ru

Безусловно, это очень упрощенная схема. Но для понимания процесса достаточна. Как видите, у провайдера есть некий-фильтр, который «просматривает» весь ваш трафик и принимает решения, пропустить или нет (настучать на вас или нет :) ). Фактически ваша точка выхода в интернет – это внешние маршрутизаторы вашего провайдера. Именно тут принимается решение, увидите вы тот или иной ресурс или нет.

Что сейчас сделаем мы, запустив наш трафик через интернет:

На наших личных устройствах (компьютер, смартфон, планшет и т.д.) будут установлены и настроены программы-клиенты для VPN сервера. На нашем VPS будет установлена и настроена программа-сервер VPN. Как только они соединятся между собой, появляется наш виртуальный зашифрованный канал поверх всех остальных каналов (красная пунктирная линия на рисунке). Теперь никто не знает, что содержится в трафике между нашими устройствами и нашим VPN сервером, весь трафик надёжно зашифрован. Фактически, теперь наша точка выхода в интернет – это наш VPS. Именно его IP-адрес будут видеть все те Интернет-ресурсы, на которые мы будем заходить. Теперь никакой товарищ майор не узнает, какие видосики вы смотрите, на какие сайты вы ходите и какие сообщения на форумах пишете. Да, если получить доступ к вашему VPS, можно узнать содержимое вашего трафика. Но ведь наш VPS в другой стране, надавить авторитетом на хостера не получится, у него пердставительств и имущества на территории нашей страны и нашего товарища майора пошлют. Нужно затевать полноценное расследование, привлекать международные соглашения, Интерпол, направлять обоснованный (причем обоснованный с точки зрения законодательства страны хостера) запрос. В общем, если вы не натворите чего-нибудь совсем плохого, никто ничего и не получит. Единственное, что от вас требуется: аккуратное обращение с ключами и паролями. Вернёмся к этому вопросу позже.

Хватит теории, переходим к практике.

У вас уже запущены и соединены с сервером PuTTY и WinCSP. Переходим к консоли PuTTY и выполняем следующие команды:

yum install wget -y
yum install unzip zip -y
yum install openvpn -y

Создадим папку для ключей установим её текущей. Для это выполним в консоли команды:

mkdir /etc/openvpn/keys
cd /etc/openvpn/keys

Для генерации ключей мы используем утилиту Easy-RSA. Для начала скачем её себе:

wget https://github.com/OpenVPN/easy-rsa/archive/master.zip

Распакуем:

unzip master.zip

Создадим файл с настройками из приложенного образца:

cp vars.example vars

Перейдем в папку с утилитой:

cd /etc/openvpn/keys/easy-rsa-master/easyrsa3

Свернём пока консоль и развернём WinCSP. Перейдём в папку /etc/openvpn/keys/easy-rsa-master/easyrsa3.

Примечание: если в правой панели WinCSP вы вдруг не видите каких-либо файлов или папок, которые там должны быть, нажмите кнопку обновления:

Находим и открываем файл vars. Находим строчки

#set_var EASYRSA_REQ_COUNTRY "US"

#set_var EASYRSA_REQ_PROVINCE "California"

#set_var EASYRSA_REQ_CITY "San Francisco"

#set_var EASYRSA_REQ_ORG "Copyleft Certificate Co"

#set_var EASYRSA_REQ_EMAIL "me@example.net"

#set_var EASYRSA_REQ_OU "My Organizational Unit"

и убираем в начале каждой символ #

Теперь можно включить фантазию и изменить под себя значения в кавычках. Например:

set_var EASYRSA_REQ_COUNTRY "RU"

set_var EASYRSA_REQ_PROVINCE "Moscow"

set_var EASYRSA_REQ_CITY "Moscow"

set_var EASYRSA_REQ_ORG "RosComNadzor"

set_var EASYRSA_REQ_EMAIL "admin@rkn.ru"

set_var EASYRSA_REQ_OU "Otdel besnennogo printera"

Эти параметры обязательны при генерации ключа, но, в нашем случае, ни на что не влияют. Далее находим и приводим к указанному виду следующие параметры:

Строчку

#set_var EASYRSA_KEY_SIZE 2048

превращаем в:

set_var EASYRSA_KEY_SIZE 4096

Строчку

#set_var EASYRSA_DIGEST "sha256"

превращаем в:

set_var EASYRSA_DIGEST "sha512"

В этом файле можно еще много чего поправить, например, срок действия ключа. Но мы не будем этого делать. Перегенерировать ключ раз 180 дней – не так уж и сложно. Закрываем файл с сохранением.

Возвращаемся к консоли PuTTY. Создаем инфраструктуру публичных ключей (PKI, Public Key Infrastructure). Выполним команду:

./easyrsa init-pki

Easy-RSA отвечает нам, что создан каталог /etc/openvpn/keys/easy-rsa-master/easyrsa3/pki/

Не буду расписывать, что такое PKI. Про это есть отличная статься с картинками в Википедии.

Нам важно знать, что ключи создаются парами – закрытый и открытый. Для обмена с кем-то защищаемой информацией мы обмениваемся открытыми ключами. В данном случае у сервера будет свой закрытый ключ и открытые ключи клиентов. У клиентов свои закрытые ключи и открытый ключ сервера. А удостоверять подлинность ключей, будет созданный нами же удостоверяющий центр. Его корневой сертификат будет у всех участников обмена.

Создадим свой удостоверяющий центр (СА). По-хорошему, его бы надо создавать не здесь, а на какой-то отдельной машине и, в идеале, не подключенной к интернету. Но, в нашем частном случае, это чрезмерная паранойя. Не будем забывать, что наша задача просто выйти из-под регулирования законодательства своей страны. Если кто-то получит возможность покопаться в нашем сервере, он и так всё узнает. Поэтому не будем усложнять.

Выполним команду:

./easyrsa build-ca

Нас просят придумать пароль:

Да-да, опять пароль. Требования к сложности примерно такие же, как и для пароля ключа SSH. Зачем этот пароль: если корневой сертификат вашего удостоверяющего центра попадёт в чужие руки, то любой сможет сгенерировать пользовательские сертификаты и подключиться к вашему VPN-серверу. Поэтому вы должны беречь от разглашения и закрытый ключ корневого сертификата (файл ca.key), и пароль к нему. Забывать этот пароль также не стоит. Восстановить его нельзя и придется заново создавать корневой сертификат и все пользовательские сертификаты. Не смертельно, но не приятно. В общем придумываем и вводим пароль. Нас попросят ввести его два раза. На следующий вопрос:

просто жмём Enter (также будем поступать для всех остальных ключей). У нас появились файлы ca.crt (корневой сертификат. Он открытый, мы его будем передавать клиентам)

и ca.key (закрытый ключ удостоверяющего центра, его нужно беречь от разглашения. Это самая ценная для вас вещь на вашем сервере).

Теперь создадим пару (открытый, закрытый) ключей для нашего VPN-сервера. Закрытый ключ сервера мы не будем защищать паролем, так как вводить этот пароль пришлось бы при каждой перезагрузке сервера. Создаём запрос на сертификат:

./easyrsa gen-req server nopass

На запрос ввести Common Name просто жмём Enter.

Как видите, на выходе у нас два файла: server.key – это закрытый ключ сервера; server.req – это запрос нашему CA на удостоверение (подписывание) сертификата. Скормим запрос нашему CA:

./easyrsa sign-req server server

CA просит подтвердить, что мы в своём уме и действительно хотим подписать сертификат. Убедим его в этом: наберём yes и нажмём Enter.

Теперь введём пароль от нашего закрытого ключа CA

И вот CA создал подписанный открытый ключ нашего сервера /etc/openvpn/keys/easy-rsa-master/easyrsa3/pki/issued/server.crt

А теперь мы сделаем очень нужную штуку. Мы создадим ключ Диффи-Хелмана. Этот ключ защитит наш трафик от расшифровки даже в случае похищения ключей сервера и клиентов. Т.е. если товарищ майор записывал весь ваш шифрованный трафик, скрипя зубами от досады, что не может понять, что ж такое вы делаете. А потом он вдруг заполучит все ваши ключи, то он всё равно не сможет расшифровать тот трафик, который у него записан. Вот такая вот магия математики. Берегите математиков, они умные и защищают нас от товарища майора.

Вводим в консоли команду:

./easyrsa gen-dh

и идём пить чай ибо процесс это не быстрый. А учитывая, что процессор у VPS весьма слабенький, генерация может занять до 15 минут (а может и больше). В общем ждите, магия быстро не делается.

Когда генерация завершится, мы получим файлик /etc/openvpn/keys/easy-rsa-master/easyrsa3/pki/dh.pem

Еще мы сделаем список отозванных сертификатов. Он нам пригодится, чтобы сделать недействительными какие-либо клиентские ключи. Например, при утере смартфона с настроенным VPN-клиентом.

Выполним команду:

./easyrsa gen-crl

И получим файл /etc/openvpn/keys/easy-rsa-master/easyrsa3/pki/crl.pem. В нём и будет список отозванных сертификатов. Отзывать сертификаты мы потренируемся позже, пока оставим так.

Теперь подкинем VPN-серверу все необходимые ключи. Для этого выполним несколько команд:

cp pki/ca.crt /etc/openvpn/
cp pki/dh.pem /etc/openvpn/
cp pki/crl.pem /etc/openvpn/
cp pki/issued/server.crt /etc/openvpn/
cp pki/private/server.key /etc/openvpn/

Получится вот так:

И сделаем текущей папку VPN-сервера:

cd /etc/openvpn

Еще не много магии для усиления безопасности. Сделаем HMAC (ищите описание на Хабре и в Википедии). Выполним команду:

openvpn --genkey --secret ta.key

Рядом с нашими ключами в папке /etc/openvpn будет создан файл ta.key. Его мы также будем отдавать клиентам.

Теперь с помощью WinCSP поправим права на файлы: ca.crt, crl.pem, dh.pem, server.crt. Сделаем для всех 0644.

А для файлов server.key, ta.key установим права 0600 (по-идее они сразу такие и есть, но на всякий случай проверьте).

В принципе VPN-сервер можно уже сконфигурировать и запускать, но нам пока нечем к нему подключиться. Поэтому создадим ключи для клиента. Вернёмся в папку утилиты Easy-RSA:

cd /etc/openvpn/keys/easy-rsa-master/easyrsa3

Для создания ключа и запроса на подпись используется команда (не спешите вводить, сначала прочитайте то, что ниже):

./easyrsa gen-req client_name nopass

Для подписания запроса и создания открытого ключа команда:

./easyrsa sign-req client client_name

Всё также, как и при создании ключей сервера. Если возникнут вопросы, смотри выше, как мы там это делали.

Обратите внимание на следующее:

- ключ nopass вы можете использовать, а можете не использовать. С ключом nopass вам не потребуется придумывать пароль для закрытого ключа клиента. Тогда, при подключении к VPN-серверу, и вводить его не придётся. Но в этом случае любой, кто завладеет ключом клиента, сможет подключиться к вашему VPN-серверу. Однако, вводить каждый раз пароль не удобно. Ищите компромисс. Например, на домашнем компьютере ключ без пароля, на рабочем – с паролем. Если ваше переносное устройство не имеет дополнительных мер защиты (шифрование накопителя, контроль доступа и пр.) и есть риск потерять устройство, или иным образом скомпрометировать – сделайте ключ с паролем.

- client_name это произвольное, понятное вам название того клиента, который будет им пользоваться. Например, для домашнего компьютера можно сделать имя my_home_pc. Тогда команды будут выглядеть так:

./easyrsa gen-req my_home_pc nopass
./easyrsa sign-req client my_home_pc

А для своего смартфона сделать ключи с именем my_smartphone и с защитой паролем. Тогда команды будут выглядеть так:

./easyrsa gen-req my_smartphone
./easyrsa sign-req client my_smartphone

В общем делайте удобное и понятное имя, чтобы не запутаться в ключах.

Для данной статьи я сделаю тестовые ключи для компьютера и смартфона с именами test_pc и test_smart

Сначала покажу как настроить подключение с компьютера. Мы проверим, что наш VPN работает, а потом расскажу, как настроить на смартфоне.

Клиенту нужно будет передать следующие файлы:

- сгенерированную пару ключей клиента (в моём случае test_pc.crt и test_pc.key)

- открытый сертификат CA (ca.crt)

- ta.key

Никаких других ключей и сертификатов у клиента быть не должно!

Ну вот, все ключи у нас есть. Давайте уже конфигурировать и запускать.

В папке /etc/openvpn создадим файл server.conf (если он там уже есть, удалите и создайте заново). Как создавать файлы, было написано ранее. Содержимое файла будет следующее:

port 443

proto udp

dev tun

ca ca.crt

cert server.crt

key server.key

dh dh.pem

crl-verify crl.pem

server 10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt

push "redirect-gateway def1"

push "dhcp-option DNS 8.8.8.8"

push "dhcp-option DNS 8.8.4.4"

remote-cert-eku "TLS Web Client Authentication"

keepalive 10 120

tls-server

tls-auth ta.key 0

tls-timeout 120

auth SHA512

cipher AES-256-CBC

comp-lzo

max-clients 10

user nobody

group nobody

persist-key

persist-tun

status openvpn-status.log

log openvpn.log

verb 4

Описание опций файла выходит за рамки статьи. О некоторых опциях я расскажу ниже, в процессе.

Сохраним файл. Проверим, чтобы права были 0644.

Теперь пробуем запустить сервер. В консоли команда:

systemctl start openvpn@server

Проверяем, что запустился.

Сначала посмотрим на состояние службы сервера командой:

systemctl status -l openvpn@server

Если всё хорошо, то это будет выглядеть вот так:

Но может быть и плохо:

Смотрим лог (/etc/openvpn/openvpn.log) и видим там, например:

us=64300 ERROR: Cannot open TUN/TAP dev /dev/net/tun: No such file or directory (errno=2)

us=64310 Exiting due to fatal error

Т.е. не найден TUN/TAP драйвер. Об этом я писал в начале статьи. В случае моего текущего хостера это решается просто. В письме (смотри раздел про аренду VPS), которое содержало IP-адрес сервера и пароль на SSH, была дана ссылка на панель управления сервером и логин-пароль к ней. Заходим в эту панель и видим:

Так включим же его. После включения сервер уйдет в перезагрузку, придется закрыть PuTTY и WinCSP, открыть их заново и подключиться к серверу. Возможно, в случае другого хостера, для включения TUN/TAP вам придется написать в тех.поддержку.

Еще раз пробуем запустить службу и проверить её состояние. Всё должно стать хорошо. Если не стало, смотрим логи. Тут универсального рецепта нет. Например, может мешать SELinux (это такая система безопасности Linux). Чиним командой:

semanage port -a -t openvpn_port_t -p udp 443

И опять пробуем запустить службу и проверить состояние.

Еще проверим, что служба VPN-сервера слушает нужный порт (у нас 443):

netstat -tulnp | grep 443

Если напишет что-то типа: -bash: netstat: command not found, то выполняем команду:

yum install net-tools -y

И потом снова:

netstat -tulnp | grep 443

Должно быть так:

Убедившись, что служба стартует без проблем, добавляем её в автозагрузку:

systemctl enable openvpn@server

Ну и отключим логи. На всякий случай ;) Для этого откроем для редактирования файл /etc/openvpn/server.conf и строчку:

log openvpn.log

переделываем в:

log /dev/null

сохраняем и закрываем. Делаем перезапуск службы, чтобы применился новый конфиг:

systemctl restart openvpn@server

И удаляем файл /etc/openvpn/openvpn.log

Нет у нас логов, товарищ майор.

Пришла пора подключиться к нашему серверу. Речь пойдет о компьютерах под управлением операционной системы семейства Windows. Если у вас Linux, то я не пойму, зачем вы всё это читаете.

Скачиваем клиента.

И устанавливаем. В процессе убираем галочку с OpenVPN Service

Остальное не трогаем.

После установки открываем папку C:\Program Files\OpenVPN\config\ и создаем в ней файл client_name.ovpn

В данном случае client_name это произвольное имя, можете сделать его совпадающим с именем ключей.

Содержимое файла:

client

dev tun

proto udp

remote 123.123.123.123 443

resolv-retry infinite

nobind

block-outside-dns

persist-key

persist-tun

mute-replay-warnings

remote-cert-eku "TLS Web Server Authentication"

remote-cert-tls server

tls-client

tls-auth "C:\\Program Files\\OpenVPN\\config\\ta.key" 1

auth SHA512

ca "C:\\Program Files\\OpenVPN\\config\\ca.crt"

cert "C:\\Program Files\\OpenVPN\\config\\test_pc.crt"

key "C:\\Program Files\\OpenVPN\\config\\test_pc.key"

cipher AES-256-CBC

comp-lzo

verb 3

Вместо 123.123.123.123 вписываем IP-адрес своего сервера. Вместо test_pc.crt, test_pc.key вписываем правильные названия своих клиентских ключей. В общем-то ключи совсем не обязательно должны лежать в папке C:\Program Files\OpenVPN\config\, даже было бы намного лучше, чтобы они здесь не лежали, а находились на флешке и были всегда под контролем. Тогда путь выглядел бы примерно так:

ca "E:\\my_keys\\ca.crt"

Но мы не будем пока мудрить и сделаем так. Сохраняем файл.

При помощи WinCSP скопируем к себе на компьютер все необходимые ключи с сервера:

И запускаем OpenVPN GUI (кнопка Пуск -> OpenVPN -> OpenVPN GUI)

Так как у вас всего один файл .ovpn в папке C:\Program Files\OpenVPN\config\, то соединение должно начаться автоматически. Появится окно с логом соединения:

А как только соединение будет установлено, в трее появится соответствующий значок зеленого цвета:

Щелкнув правой кнопкой мыши на этом значке, можно увидеть меню управления клиентом (отключиться, подключиться, настройка).

Если значок желтый, то клиент в процессе установление соединения.

Если серый, клиент не подключен к VPN-серверу.

Если подключиться не получается, проверяйте настройки файрволла сервера, как это написано выше (в предыдущей части статьи).

Проверяем, что теперь наш видимый в интернете IP-адрес совпадает с IP-адресом сервера. Например, по пройдем по адресу http://myip.ru/ и посмотрим.

Всё, ваша личная VPN сеть работает, товарищ майор больше не может отслеживать ваш трафик.

Многие играли в Galaxy on Fire и Galaxy on Fire 2 - замечательные игры для мобильных устройств от DS FISHLABS. Некоторые олдфаги помнят даже Diep 3D. И вот недавно фанаты снова получили повод праздновать: серия Galaxy on Fire пополнилась третьей частью! Судя по восторженным отзывам, поиграть в нее действительно стоит.

Многие, дочитав до этого момента, наверняка сразу побегут в ITunes/Google Market. Для тех, кто пользует Android, проблем нет, как-нибудь да разобраться можно. А вот для счастливых (или несчастливых) обладателей яблочной техники америкосы приготовили большой облом: игры в Apple Store нет.

Как же так, спросите вы, ведь многие уже играют! Но так оказалось, что эта игра доступна ТОЛЬКО для Нидерландов. Вот такие дела. Но с покемонами же люди справились, значит и с этим наверное можно. И действительно можно, по инструкции ниже.

1. Нужно скачать ITunes для компа. Можно и с обычного телефона, но там все гораздо более замороченное, так что лучше сэкономьте себе нервы и поработайте с компом.

2. Нужно выйти из учетной записи, если вы в нее вошли.

3. Далее скроллим в самый низ вкладки iTunes Store

Видим, что низ безбожно обрезан, и не видно, что внизу. Что ж, бывает. Заходим куда угодно, и тогда низ будет показан.

4. Теперь можно изменить страну на Нидерланды, нажав на кнопку смены страны. При этом сменится язык.

5. Теперь нужно создать новый аккаунт. Страна автоматически выставится на Нидерланды, так что никакого геморроя. С телефона по этой причине будет сложнее, но все равно можно.

6. В создании аккаунта на последней стадии нужно будет ввести способ оплаты. Обычно там есть 4 варианта, последний из которых - без карты. Его может и не быть, тогда закройте приложение и начните снова.

7. После создания аккаунта вы сможете вбить в строке поиска вожделенные слова: Galaxy on Fire 3 - Manticore. И, о чудо, такое имеется.

Остается только скачать его и закинуть на свое устройство.

Также можно просто сменить Apple ID на устройстве, указав только что созданный, и скачать приложение напрямую.

Приятной игры!

Когда игра уже скачана, Apple ID можно сменить обратно, никто ее уже не заберет. Максимум, iTunes может пожаловаться, что не все, что есть на устройстве, загружено и в iTunes тоже.

ЗЫ. Как обстоят дела с устройствами на Android, не знаю, но там всегда все легче.