VPS VPN-inizi yerləşdirməzdən əvvəl nəyə icazə verməlidir

İnstansiya yüklənir, paket quraşdırmaları uğurlu olur, xidmət hətta işlək vəziyyət bildirir, amma heç nə qoşulmur. Bu nümunə virtual özəl serverlərdə geniş yayılıb, çünki internetə rahat çıxan qonaq yenə də protokolunuzun istədiyi interfeysi yarada bilməyə bilər. Beş yoxlama tunelə xidmət edə bilən hostu yalnız hazır görünəndən ayırır və ilk uğursuz yoxlama adətən sonrakı hər şeyi izah edir. Hər biri ucuzdur və qeyd deyil, qərarla bitir.

Protokolun tələb etdiyi interfeysi təsdiqləyin

OpenVPN TUN üzərində işləmək üçün simvol cihazı və onun arxasındakı kernel modulu lazımdır; WireGuard öz kernel dəstəyinə və ya uyğun gözləntilərlə istifadəçi məkanı tətbiqinə ehtiyac duyur. İdarə olunan konteynerlər cihazı heç vaxt açmayan host kernelini paylaşa bilər və bəzi platformalar quraşdırılandan asılı olmayaraq tunel interfeyslərinin yaradılmasını tamamilə qadağan edir.

Dəstək səhifəsini oxumaq əvəzinə imkanı sınayın, çünki marketinq etiketləri əsas məhdudiyyətlərdən daha sürətli dəyişir. Bir plan üçün yazılmış funksiya siyahısı qonağın həqiqətən işlədiyi kernelı təsvir etməyə bilər. İki qısa əmr geniş istifadə olunan protokollar üçün suala cavab verir və hər ikisi arxasını təmizləyir. Aşağıdakı əmrlər qalıcı heç nə yaratmır və dərhal silinir.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Birinci cütdə imtina TUN-un mövcud olmadığını və OpenVPN-in standart rejiminin başlaya bilmədiyini bildirir; son sətirdə imtina WireGuard kernel interfeysinin olmadığını göstərir. kernel TUN/TAP sənədləşməsi ilk yoxlamanın sınadığı cihazı təsvir edir. Bu uğursuzluqların heç biri VPN paketini yenidən quraşdırmaqla aradan qalxmır.

Yaddan çıxarmayın: daxil olan yolun iki sahibi var

Provayderin şəbəkə qaydaları və qonağın qoruyucu divarı ayrı sistemlərdir və trafik hər ikisindən keçməlidir. Qonaqda bağlanmış dinləyici provayderin təhlükəsizlik qrupu portu atırsa heç nə demək deyil, açıq provayder qaydası isə qonaq paketi rədd edirsə işləmir. Əvvəlcə dinləyicini, sonra qonaq qaydalarını, sonra provayder panelini bu ardıcıllıqla yoxlayın və port nömrəsi ilə yanaşı protokolu da təsdiqləyin. Birbaşa provayder panelinə keçmək insanların ehtiyac duymadıqları aralığı açmasına səbəb olur.

UDP adi qurbandır: bir çox platforma standart olaraq TCP-yə icazə verir və UDP qaydalarını ayrı qeyd kimi qəbul edir. İnstansiya açıq ünvana sahib olmaq əvəzinə provayderin NAT-ı arxasındadırsa, provayder tərəfində port yönləndirməsi uyğunlaşdırılmalı üçüncü konfiqurasiya olur.

Yalnız çıxışı deyil, qayıdış yolunu da planlayın

Tam tunel xidməti yönləndirmənin aktivləşdirilməsini, müştəri trafiki üçün tərcümə və ya marşrutlaşdırma sxemini və müştəri hovuzuna çatan qayıdış yolunu tələb edir. Dinləyici açmaq bunların heç birini vermir. Qurulan, lakin faydalı trafik daşımayan tunel adətən autentifikasiyada deyil, burada uğursuz olur. Uğurlu əl sıxışmanı diaqnozun sonu deyil, başlanğıcı sayın.

Planı üç konkret qərar kimi yazın: müştərilərin hansı mənbə aralığını alacağı, trafiklərinin internetə necə çıxacağı və cavabların geri yolunu necə tapacağı. Sonra müştərini sınamazdan əvvəl kernelın planla razılaşdığını təsdiqləyin ki, səssiz uyğunsuzluq müştəri tərəfli nasazlıq kimi qəbul edilməsin.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

IPv6 məsələsini açıq şəkildə qərarlaşdırın

IPv6 şlüz üçün fərqli davranan bir neçə mexanizmlə gəlir: instansiyada ünvan, marşrutlaşdırılmış prefiks və ya heç nə. Yalnız marşrutlaşdırılmış prefiks serverə adları müştərilərə adi qaydada verməyə imkan verir. Hostda işləyən IPv6 ünvanının istifadə oluna bilən müştəri prefiksi demək olduğunu fərz etmək sonradan yarımçıq qoşulma kimi üzə çıxan səhvdir. Bu, yalnız IPv4 ilə aparılan hər sınaqdan sağ çıxan nasazlıq növüdür.

Provayder heç bir prefiks marşrutlaşdırmırsa, tunelin yalnız IPv4 olduğunu və müştərilərə bunun deyilib-deyilməyəcəyini qərarlaşdırın. Sənədləşdirilmiş yoxluq, qoşulmuş istifadəçilər üçün IPv6 hədəflərini səssizcə qara dəliyə atan qismən konfiqurasiyadan daha təhlükəsizdir.

Bunu kənar müştəridən sübut edin

Yerli xidmət vəziyyəti bir hostda bir prosesi təsvir edir. Faydalı sınaq fərqli şəbəkədə olan, yaymağı düşündüyünüz profillə qoşulan, sonra tətbiqə çatan və adı həll edən səlahiyyətli müştəridir. Bir dəfə də yenidən qoşulun, çünki yalnız ilk cəhddə işləyən tunel praktikada ən çox əhəmiyyət verən tələbi yerinə yetirmir.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Sınaqla yanaşı əməliyyat əsaslarını saxlayın: yeniləmələr üçün yer, məhdud loglar, tuneldən asılı olmayan inzibati giriş, bərpa konsolu və instansiya yenidən qurulub açıq ünvanı dəyişdikdə müştəri profillərinin taleyinə dair qeyd. Tələb olunan interfeys və ya yönləndirmə modeli sadəcə mövcud deyilsə, heç bir müştəri tərəfli dəyişiklik onu təmin etməyəcək və dürüst növbəti addım daha çox konfiqurasiya deyil, başqa instansiya növüdür.