Configurar a VPN sempre ativa no Android usando um nome de domínio do servidor em vez de um endereço IP do servidor

Question

Estou conectando-me à minha VPN doméstica com o Hamachi com meu dispositivo móvel Android (v4.4.x) usando o IPSec. A conexão VPN está funcionando bem, exceto que não consigo configurar a conexão como "sempre ativa" nas configurações de VPN do Android. Como resultado, a conexão cai com frequência e exige que eu volte às configurações do Android do meu dispositivo móvel e reinicie a VPN manualmente, o que é irritante e meio que anula o propósito de ter uma VPN.

(Nota: Um pouco mais sobre a configuração "always on" pode ser encontrada aqui na parte inferior do artigo: link .)

A causa do meu problema é que o Android requer um endereço IP estático do servidor VPN antes de aceitar uma conexão VPN como "sempre ligado", e o Hamachi não usa um IP estático para conexões VPN móveis. Em vez disso, ele usa apenas a URL estática "m.hamachi.cc".

Portanto, tenho duas perguntas: Primeiro, como posso configurar minha conexão VPN como "sempre ativa", já que o servidor VPN não tem um endereço IP estático, o que é necessário? Em segundo lugar, por que o Google exige um IP estático para uma conexão sempre ativa, qual é o benefício disso?

Obrigado, agradeço todas as ideias.

    

Answer 1

Já faz muito tempo desde que isso foi perguntado, mas estou tentando responder de qualquer maneira. Com base na resposta deste thread , o problema é o spoofing de DNS:

A VPN sempre ativa está lá para protegê-lo de uma rede que você não pode controlar. Se você tem um nome DNS no lugar em vez de um ip, o dispositivo teria que resolver esse nome ANTES que o túnel VPN fosse estabelecido. Mas essa resolução aconteceria em uma rede em que você não confia, então você não pode ter certeza de que o ip retornado para o nome é o correto.

Um cenário seria que o servidor dns na rede não confiável lhe daria o ip para um servidor VPN sob seu controle, para o qual suas credenciais seriam enviadas (em vez de seu próprio servidor).

    

Answer 2

Você não pode confiar em nenhuma comunicação antes de estabelecer o túnel VPN. O estabelecimento de túnel VPN deve começar com a configuração de conexão criptografada baseada em certificado, portanto o ARP Poisoning mencionado pela Aron não pode afetá-lo (já que atacar o computador não teria como estabelecer uma conexão, ele só pode impedir a comunicação entre você e a rede, portanto mudando o ataque do MITM para o DOS)

Portanto, qualquer consulta DNS para estabelecer o IP do servidor pode ser comprometida (ou apenas bloqueada, para que você nunca realmente se conecte). Você precisa fornecer servidores DNS para impedir o vazamento de informações para o seu provedor atual.