ما الذي تحتاجه قبل استضافة خادم VPN خاص بك؟

تثبيت برنامج الخادم هو أقصر جزء في VPN تستضيفه بنفسك، وهو الخطوة التي يبدأ بها الناس. يتوقف نجاح النشر على ما إذا كان العميل يستطيع الوصول إلى نقطة النهاية، وما يمكن أن يصل إليه ذلك العميل بعد ذلك، وكيف تعود إلى الداخل عندما يكون النفق هو ما تعطّل. احسم الأمور الثلاثة قبل أن يعمل مدير الحزم.

اثنان منها قرارات تصميم، والثالث عادة تشغيلية. إصلاح الثلاثة على الورق أرخص من إصلاحها أثناء انقطاع.

قرّر ما ينبغي أن يصل إليه العملاء

يحتاج خادم الوصول عن بُعد إلى مسار نحو الشبكة الخاصة التي يعلنها، وإلى مسار عودة للردود، وهذا يجعله موجّهًا لتلك الشبكة لا مجرد مستمع. ويحتاج خادم مخرج الإنترنت إلى إعادة توجيه مع ترتيب للعنونة أو للترجمة، والمصافحة المكتملة لا توفّر أيًّا منهما. اختر المهمة قبل الطوبولوجيا، لأن التصميمين يختلفان في التوجيه وقواعد جدار الحماية وفي ما يرسله العميل عبر النفق. الخادم المطلوب منه الأمران يحتاج إلى مجموعتي القواعد معًا وإلى تقسيم مطابق للمسار الافتراضي للعميل.

اختر نطاقات النفق والشبكة المحلية بحيث لا يمكن أن تتصادم مع شبكات يستخدمها عملاؤك بالفعل، لأن حاسوبًا محمولًا يحمل بالفعل 192.168.1.0/24 سيظل يستخدم ذلك المسار بدلًا من نفق يوزّع البادئة نفسها. افحص IPv4 وIPv6 كلًا على حدة، لأن كثيرين يصيبون في الأول ولا يلاحظون الثاني أبدًا. وحيث يكون الخادم خلف موجّه آخر، فأكّد قابلية الوصول من الخارج بدلًا من الوثوق بإعادة توجيه منفذ واحدة لتصف كل طبقة.

الهويات والمفاتيح وطريق العودة

أصدر هوية منفصلة لكل جهاز حيث يدعم البرنامج ذلك، حتى يعني فقدان حاسوب محمول سحب قرين واحد بدلًا من إعادة بناء الخادم. المفاتيح الخاصة مكانها التخزين المحمي، وأبدًا ليس في ملف شخصي يُلصق في رسالة دردشة. طريق الاستعادة هو الجزء الذي يتخطاه الناس: الوصول إلى الطرفية، أو طرفية تسلسلية، أو واجهة إدارة خارج النطاق لا تعتمد على النفق. بدونها يحوّل قاعدة جدار حماية سيئة تغييرًا صغيرًا إلى زيارة للموقع.

اكتب إجراء الإزالة في الوقت نفسه الذي تكتب فيه إجراء التسجيل. سحب جهاز عملية ستحتاجها عاجلًا أو آجلًا، ووصفها أسهل ما دام الإعداد طازجًا.

نقطة نهاية في المنزل أم مستأجرة؟

ثلاثة شروط تحسم بين الاستضافة في المنزل واستئجار نسخة صغيرة. الأول هو ما إذا كانت الاتصالات الواردة تصل إلى شبكتك أصلًا، لأن وصلة صاعدة مترجمة على مستوى المشغّل أو شبكة مبنى مقيّدة تلغي هذا الخيار. والثاني هو ما إذا كان يجب أن يظهر المخرج في مكان غير مدينتك، لأن نقطة النهاية المستأجرة وحدها تغيّر ذلك. والثالث هو الرغبة في علاقة ثقة ثانية، لأن مزوّد الاستضافة يدخل في النموذج ويمكنه مراقبة نقطة النهاية حتى عندما لا يستطيع قراءة الحركة.

إذا تحقّق الشرط الأول وكان الثاني غير ذي صلة، فالاستضافة في المنزل هي الطريق الأقصر. نقطة النهاية المستأجرة تشتري الموقع والتوافر لا الخصوصية بحد ذاتها.

أثبته بعميل واحد وإعادة تشغيل

أطلق عميلًا واحدًا، وأكّد أنه يصل إلى المورد الذي يجب أن يصل إليه، وأكّد أنه يتوقف عن الوصول إلى ما لا يجب أن يصل إليه. الأوامر أدناه تُظهر حالة القرين، والمسارات التي ثبّتها الخادم، وما إذا كانت إعادة التوجيه مفعّلة. شغّلها قبل تسجيل أي شخص آخر.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

القرين الذي له مصافحة حديثة متصل، أما القرين الذي لا مصافحة له فلم يتفاوض قط، وهذان عطلان مختلفان. إعادة التوجيه المعطّلة تفسّر نفقًا ينهض ولا يحمل شيئًا، لذا افحص الخادم قبل أن تلوم العميل. غياب المستمع يعني أن الخدمة لم تبدأ بالإعداد الذي تظنه. ثم أعد تشغيل الخادم عمدًا وكرّر المجموعة كاملة، لأن نفقًا يعمل حتى إعادة التشغيل فقط نتيجة شائعة لاختبار الطريق السعيد.

سجّل نقطة النهاية والقرناء والنطاقات وطريقة الاستعادة في صفحة واحدة. تلك الصفحة هي الدليل الذي ستقرأه في أقل لحظة مناسبة.