Wat het jy nodig voordat jy jou eie VPN-bediener huisves?

Om die bedienerprogram te installeer is die kortste deel van 'n selfgehoste VPN, en dit is die stap waarmee mense begin. Of die ontplooiing werk, hang daarvan af of 'n kliënt die eindpunt kan bereik, wat daardie kliënt daarna kan bereik, en hoe jy weer inkom wanneer die tonnel die ding is wat gebreek het. Besleg al drie voordat die pakketbestuurder loop.

Twee daarvan is ontwerpbesluite en die derde is 'n operasionele gewoonte. Al drie is goedkoper om op papier reg te maak as tydens 'n onderbreking.

Bepaal wat kliënte moet bereik

'n Afstandtoegang-bediener het 'n roete na die privaatnetwerk wat hy adverteer nodig, en 'n terugpad vir die antwoorde, wat hom 'n router vir daardie netwerk maak eerder as net 'n luisteraar. 'n Internet-uitgang-bediener het deurstuur plus 'n adresserings- of vertalingsreëling nodig, en 'n voltooide handskud lewer nie een van die twee nie. Kies die taak voor die topologie, want die twee ontwerpe verskil in roetering, firewallreëls en in wat die kliënt deur die tonnel stuur. 'n Bediener wat gevra word om albei te doen, het albei reëlstelle nodig en 'n gepaste verdeling van die kliënt se verstekroete.

Kies tonnel- en LAN-reekse wat nie met netwerke bots wat jou kliënte al gebruik nie, want 'n skootrekenaar wat reeds 192.168.1.0/24 het, sal daardie roete bly gebruik eerder as 'n tonnel wat dieselfde voorvoegsel uitdeel. Kontroleer IPv4 en IPv6 afsonderlik, want baie mense kry die eerste reg en sien nooit die tweede raak nie. Waar die bediener agter 'n ander router sit, bevestig inkomende bereikbaarheid van buite eerder as om een poortdeurstuur te vertrou om elke laag te beskryf.

Identiteite, sleutels en 'n pad terug in

Reik 'n aparte identiteit per toestel uit waar die program dit ondersteun, sodat 'n verlore skootrekenaar beteken om een eweknie te herroep eerder as om die bediener te herbou. Privaat sleutels hoort in beskermde berging en nooit in 'n profiel wat in 'n boodskap geplak word nie. Die herstelpad is die deel wat mense oorslaan: konsoeltoegang, 'n serie-konsole, of 'n buitebandse bestuerskoppelvlak wat nie van die tonnel afhanklik is nie. Sonder een verander 'n slegte firewallreël 'n klein verandering in 'n werfbesoek.

Skryf die verwyderingsprosedure op dieselfde tyd as die inskrywingsprosedure. Om 'n toestel te herroep is 'n operasie wat jy uiteindelik nodig sal hê, en dit is makliker om te beskryf terwyl die opstelling nog vars is.

Tuis-eindpunt of gehuurde een?

Drie voorwaardes besluit tussen tuis huisves en 'n klein instansie huur. Die eerste is of inkomende verbindings jou netwerk hoegenaamd kan bereik, want 'n vertaalde opvoerlyn van 'n diensverskaffer of 'n beperkende gebounetwerk skakel die opsie uit. Die tweede is of die uitgang op 'n ander plek as jou eie stad moet verskyn, want net 'n gehuurde eindpunt verander dit. Die derde is lus vir 'n tweede vertrouensverhouding, want 'n gasheer word deel van die model en kan die eindpunt waarneem selfs wanneer hy nie die verkeer kan lees nie.

As die eerste voorwaarde slaag en die tweede irrelevant is, is tuis huisves die korter pad. 'n Gehuurde eindpunt koop ligging en beskikbaarheid eerder as privaatheid op sigself.

Bewys dit met een kliënt en 'n herbegin

Bring een kliënt op, bevestig die hulpbron wat hy moet bereik, en bevestig dat hy ophou om te bereik wat hy nie moet nie. Die opdragte hieronder wys ewekniestatus, die roetes wat die bediener geïnstalleer het, en of deurstuur geaktiveer is. Voer hulle uit voordat jy enigiemand anders inskryf.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

'n Eweknie met 'n onlangse handskud is gekoppel, terwyl 'n eweknie sonder handskud nooit onderhandel het nie, en dit is verskillende foute. Deurstuur wat afgeskakel is, verduidelik 'n tonnel wat opkom en niks dra nie, so kyk na die bediener voordat jy die kliënt blameer. 'n Ontbrekende luisteraar beteken die diens het nie begin met die konfigurasie wat jy dink dit het nie. Herbegin dan die bediener doelbewus en herhaal die hele stel, want 'n tonnel wat net tot herbegin werk, is 'n algemene resultaat van die gelukkige pad te toets.

Skryf die eindpunt, die eweknieë, die reekse en die herstelmetode op een bladsy neer. Daardie bladsy is die runbook wat jy op die ongerieflikste oomblik moontlik sal lees.