Roeteerder of aparte rekenaar as jou VPN-bediener: hoe om te kies

Beide ’n roeteerder en ’n klein rekenaar kan ’n VPN termineer, en die besluit dra selde op deurset. Dit dra op wie die opdatering om twee in die oggend toepas, wat nog stop wanneer daardie boks herbegin, en of jy steeds ’n konsole kan bereik wanneer die tonnel die ding is wat gebreek het. Beantwoord dié drie vrae vir elke kandidaat, en die keuse maak gewoonlik homself. Die prosedure hieronder verander die vergelyking in ’n kort lys dinge wat jy kan nagaan voordat jy jou verbind.

Begin met wat regop moet bly wanneer die tonnel faal

Die fout waarvoor jy moet ontwerp, is die een waar die VPN-proses sterf en jy steeds die gasheer moet bereik. Op ’n roeteerder deel die tonnel en die internetpoort een lot: een slegte konfigurasieverandering kan albei laat val, en die herstelpad is dikwels ’n fisiese herstel. Op ’n aparte rekenaar werk die poort aan, en die gasheer bly oor die LAN bereikbaar. Watter van dié uitkomste jy kan verdra, besluit meer as enige kenmerklys.

Skryf die antwoord as ’n sin: as die VPN-gasheer herbegin, wat verloor die huishouding of die kantoor? As die antwoord alle internettoegang insluit, het jy ’n gedeelde foutdomein aanvaar en moet jy dit doelbewus sê eerder as om dit later te ontdek.

’n Tweede diens op dieselfde toestel is nie ’n spaarkonsole nie. Dit deel die kragtoevoer, die firmware en die administrateursrekening.

Tel die onderhoudsvlakke wat elke gasheer byvoeg

’n Roeteerder bring vervaardiger-firmware met sy eie vrystellingsritme, en die VPN-kenmerk is gewoonlik een module binne ’n veel groter beeld. ’n Rekenaar bring ’n bedryfstelsel, ’n pakketbestuurder, ’n kernel en ’n stel dienste wat jy nou besit. Albei moet gepatch word, en die werklike vraag is watter ritme jy sal volhou sodra die nuutheid verdwyn.

Op ’n Linux-gasheer maak jy daardie ritme sigbaar eerder as om daarop te hoop. systemctl list-timers wys die geskeduleerde take en apt list --upgradable wys wat wag. Teken aan watter opdaterings ’n herbegin nodig het, want ’n VPN-gasheer wat herbegin is ’n onderbreking tensy jy vir een beplan het. ’n Roeteerder sonder ’n outomatiese opdateringspad het eerder ’n kalenderinskrywing nodig, wat ’n swakker beheer is maar ’n eerlike een.

Tel ook die rekeninge. Elke bykomende administrateursaanmelding op die VPN-gasheer is nog ’n geloofsbrief om te roteer en nog ’n pad om te herroep.

Volg die privaatnetwerk-pad, nie die etiket op die boks nie

Kliënte gee nie om waar die bediener loop nie; hulle gee om of die beskermde voorvoegsels bereikbaar is en of daar ’n terugpad bestaan. Plaas die bediener waar die roetering die eenvoudigste is, wat gewoonlik beteken direk op die segment wat die hulpbronne hou. ’n Rekenaar agter die roeteerder het steeds ’n poortaanstuur nodig, en die hulpbronne op daardie LAN het steeds ’n roete terug na die tonnel-subnet nodig.

Gaan aanstuur op die gasheer na voordat jy die kliënt blameer. sysctl net.ipv4.ip_forward behoort 1 te rapporteer, en nft list ruleset of iptables -S wys of die tonnel-koppelvlak hoegenaamd mag aanstuur. ’n Ontbrekende masquerade-reël lyk presies soos ’n gebreekte tonnel van die kliënt se kant af.

Bepaal ook wat die tonnel nie mag bereik nie. ’n Bediener wat op die roeteerder geplaas is, kan elke subnet sien wat daardie roeteerder roeteer, wat dikwels meer is as wat die toegangsbeleid bedoel. Op ’n aparte gasheer is dieselfde isolasie een firewall-reël ver, en die trefradius van ’n gekompromitteerde kliënt is kleiner. Die IPsec-poortbeskrywing in RFC 7296 behandel dit as ’n roetering- en beleidsvraag, nie ’n hardeware-vraag nie, en geen van die twee vorms is by verstek veiliger tot die beleid neergeskryf is.

Hou ’n herstelkonsole wat nie van die tonnel afhanklik is nie

Die konsole waarmee jy die VPN herstel, kan nie die VPN wees nie. Hou ’n LAN-adres, ’n serie-konsole of ’n verskafferkonsole wat werk terwyl die tonnel af is, en gebruik dit ten minste een keer voordat jy dit nodig het. ’n Buitelyn-pad wat nog nooit geoefen is nie, is ’n plan eerder as ’n vermoë.

Maak rugsteun van die konfigurasie op ’n plek wat die gasheer self nie kan verwyder nie. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn vang die sleutels en die diensdefinisies, en die kopie moet die masjien verlaat. Sluit die firewall-reëls en die kliëntinventaris in, want om sleutels sonder die eweknie-lys te herstel lewer ’n bediener wat niemand kan aansluit nie. Bêre die argief waar die herstelkonsole dit kan bereik.

Skryf die terugrol-stap in dieselfde nota. ’n Konfigurasieverandering sonder ’n gedokumenteerde terugdraai is ’n permanente verandering, wat die bedoeling ook al was.

Verifieer die keuse met ’n herbegin en ’n opdatering

Toets die reëling soos dit sal faal, nie soos dit op ’n goeie dag werk nie. Herbegin die gasheer, pas ’n hangende opdatering toe, en bevestig dat die tonnel sonder handmatige stappe terugkeer.

Na die herbegin, gaan die drie dinge na wat die meeste breek. systemctl is-active wg-quick@wg0 rapporteer of die koppelvlak teruggekom het, ss -lunp wys of iets op die poort luister, en wg show lys ’n eweknie met ’n voltooide handskud. ’n Diens wat aktief is sonder ’n handskud beteken die firewall of die roete is verkeerd, nie die daemon nie.

Herhaal die kontrole vanaf ’n kliënt op ’n ander netwerk as dié waarvandaan jy gekonfigureer het. As die tonnel ’n herbegin, ’n opdatering en ’n verandering van kliëntnetwerk oorleef, is die gasheerkeuse vir nou besleg. So nie, is die ontbrekende stuk gewoonlik ’n gedokumenteerde stap eerder as ’n ander boks.