Што трэба, перш чым размясціць уласны VPN-сервер?

Усталяванне сервернага праграмнага забеспячэння — самая кароткая частка самастойна размешчанага VPN, і менавіта з гэтага кроку людзі пачынаюць. Ці будзе разгортванне працаваць, залежыць ад таго, ці кліент дасягне канчатковага пункта, што гэты кліент можа дасягнуць пасля і як вы вернецеся ўнутр, калі зламаўся менавіта тунель. Вырашыце ўсе тры пытанні, перш чым запусціцца менеджар пакетаў.

Два з іх — рашэнні праектавання, а трэцяе — эксплуатацыйная звычка. Усе тры танней выправіць на паперы, чым падчас збою.

Вырашыце, чаго павінны дасягаць кліенты

Сервер аддаленага доступу мае патрэбу ў маршруце ў прыватную сетку, якую ён абвяшчае, і ў зваротным шляху для адказаў, што робіць яго маршрутызатарам гэтай сеткі, а не проста слухачом. Серверу выхаду ў інтэрнэт патрэбна перасылка плюс схема адрасацыі або трансляцыі, а завершаны рукапаціск не дае ні таго, ні іншага. Выберыце задачу раней за тапалогію, бо два праекты адрозніваюцца маршрутызацыяй, правіламі фаеруола і тым, што кліент пасылае праз тунель. Сервер, ад якога патрабуюць абодвух, мае патрэбу ў абодвух наборах правілаў і адпаведным падзеле маршруту па змаўчанні кліента.

Выберыце дыяпазоны тунеля і LAN, якія не могуць сутыкнуцца з сеткамі, што вашыя кліенты ўжо выкарыстоўваюць, бо ноўтбук, які ўжо мае 192.168.1.0/24, працягне выкарыстоўваць гэты маршрут замест тунеля, які выдае той жа прэфікс. Праверце IPv4 і IPv6 асобна, бо многія робяць першае правільна і ніколі не заўважаюць другое. Там, дзе сервер стаіць за іншым маршрутызатарам, пацвердзіце дасяжнасць звонку, а не спадзявайцеся на адну перасылку порта, якая апіша кожны ўзровень.

Ідэнтычнасці, ключы і шлях назад

Выдавайце асобную ідэнтычнасць для кожнай прылады там, дзе гэта падтрымлівае праграма, каб страчаны ноўтбук азначаў адкліканне аднаго пары, а не перабудову сервера. Прыватныя ключы належаць абароненаму сховішчу і ніколі профілю, устаўленаму ў паведамленне чата. Шлях аднаўлення — гэта частка, якую людзі прапускаюць: доступ да кансолі, паслядоўная кансоль або інтэрфейс кіравання па-за паласой, які не залежыць ад тунеля. Без яго дрэннае правіла фаеруола ператварае дробную змену ў візіт на месца.

Напішыце працэдуру выдалення адначасова з працэдурай далучэння. Адкліканне прылады — аперацыя, якая вам калі-небудзь спатрэбіцца, і яе лягчэй апісаць, пакуль наладка яшчэ свежая.

Канчатковы пункт дома ці арандаваны?

Тры ўмовы вырашаюць паміж размяшчэннем дома і арэндай невялікага інстанса. Першая — ці ўваходныя злучэнні наогул дасягаюць вашай сеткі, бо перакладзены уваходны канал узроўню аператара або абмежавальная сетка будынка выключаюць гэтую магчымасць. Другая — ці мусіць выхад з'яўляцца недзе іншым, чым у вашым горадзе, бо гэта змяняе толькі арандаваны канчатковы пункт. Трэцяя — схільнасць да другой давернай сувязі, бо хостынг-правайдар уваходзіць у мадэль і можа назіраць за канчатковым пунктам, нават калі не можа чытаць трафік.

Калі першая ўмова выкананая, а другая неістотная, размяшчэнне дома — больш кароткі шлях. Арандаваны канчатковы пункт купляе месцазнаходжанне і даступнасць, а не прыватнасць само па сабе.

Дык давядзіце гэта адным кліентам і перазапускам

Падыміце аднаго кліента, пацвердзіце рэсурс, да якога ён павінен дасягнуць, і пацвердзіце, што ён перастае дасягаць таго, чаго не павінен. Каманды ніжэй паказваюць стан пары, маршруты, усталяваныя серверам, і ці ўключана перасылка. Запусціце іх, перш чым далучыць каго-небудзь яшчэ.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Пара з нядаўнім рукапаціскам падключаная, а пара без рукапаціску ніколі не дамаўлялася, і гэта розныя збоі. Выключаная перасылка тлумачыць тунель, які ўзнімаецца і нічога не нясе, таму праверце сервер, перш чым вінаваціць кліента. Адсутны слухач азначае, што служба не запусцілася з канфігурацыяй, якую вы мяркуеце. Затым наўмысна перазапусціце сервер і паўтарыце ўвесь набор, бо тунель, які працуе толькі да перазапуску, — часты вынік тэставання шчаслівага шляху.

Запішыце канчатковы пункт, пары, дыяпазоны і метад аднаўлення на адной старонцы. Гэтая старонка — кіраўніцтва, якое вы прачытаеце ў найменш зручны момант.