Какво ти е нужно, преди да стартираш собствен VPN сървър?

Инсталирането на сървърния софтуер е най-кратката част от самостоятелно хостван VPN и това е стъпката, с която хората започват. Дали внедряването ще работи зависи от това дали клиентът стига до крайната точка, какво може да достигне този клиент след това и как се връщаш вътре, когато тунелът е точно това, което се е счупило. Изясни и трите неща, преди да стартира мениджърът на пакети.

Две от тях са решения за дизайна, а третото е оперативен навик. И трите са по-евтини за поправяне на хартия, отколкото по време на прекъсване.

Реши какво трябва да достигат клиентите

Сървърът за отдалечен достъп се нуждае от маршрут към частната мрежа, която обявява, и от обратен път за отговорите, което го прави рутер за тази мрежа, а не само слушател. Сървърът за интернет изход се нуждае от препращане плюс схема за адресиране или транслация, а завършеното ръкостискане не дава нито едно от двете. Избери задачата преди топологията, защото двата дизайна се различават по маршрутизация, правила на защитната стена и по това какво клиентът изпраща през тунела. Сървър, от който се искат и двете, се нуждае от двата набора правила и подходящо разделение на маршрута по подразбиране на клиента.

Избери диапазони за тунела и LAN, които не могат да влязат в конфликт с мрежи, които клиентите ти вече използват, защото лаптоп, който вече държи 192.168.1.0/24, ще продължи да използва този маршрут вместо тунел, който раздава същия префикс. Провери IPv4 и IPv6 поотделно, защото мнозина правят първия правилно и никога не забелязват втория. Там, където сървърът стои зад друг рутер, потвърди достъпността отвън, вместо да се доверяваш на едно препращане на порт да опише всеки слой.

Идентичности, ключове и път обратно

Издавай отделна идентичност за всяко устройство, където софтуерът го позволява, така че загубен лаптоп означава отнемане на един партньор вместо преизграждане на сървъра. Частните ключове принадлежат в защитено хранилище и никога в профил, поставен в чат съобщение. Пътят за възстановяване е частта, която хората пропускат: достъп до конзола, серийна конзола или интерфейс за управление извън обхвата, който не зависи от тунела. Без него лошо правило на защитната стена превръща малка промяна в посещение на място.

Напиши процедурата за премахване едновременно с процедурата за включване. Отнемането на устройство е операция, която рано или късно ще ти потрябва, и е по-лесно да се опише, докато настройката е още свежа.

Крайна точка у дома или наета?

Три условия решават между хостинг у дома и наемане на малка инстанция. Първото е дали входящите връзки изобщо достигат до твоята мрежа, защото транслационно прехвърлена връзка на ниво оператор или ограничителна сградна мрежа премахват тази възможност. Второто е дали изходът трябва да се появи другаде, а не в твоя град, защото само наета крайна точка променя това. Третото е апетит за втора връзка на доверие, защото доставчикът на хостинг влиза в модела и може да наблюдава крайната точка дори когато не може да чете трафика.

Ако първото условие е изпълнено, а второто е без значение, хостингът у дома е по-краткият път. Наетата крайна точка купува местоположение и наличност, не поверителност сама по себе си.

Докажи го с един клиент и рестарт

Вдигни един клиент, потвърди ресурса, който трябва да достигне, и потвърди, че спира да достига това, което не би трябвало. Командите по-долу показват състоянието на партньорите, маршрутите, които сървърът е инсталирал, и дали препращането е включено. Изпълни ги, преди да включиш някой друг.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Партньор с скорошно ръкостискане е свързан, докато партньор без ръкостискане никога не е преговарял, и това са различни повреди. Изключеното препращане обяснява тунел, който се вдига и не носи нищо, така че провери сървъра, преди да обвиниш клиента. Липсващ слушател означава, че услугата не е стартирала с конфигурацията, която мислиш. След това рестартирай сървъра нарочно и повтори целия набор, защото тунел, който работи само до рестарт, е чест резултат от тестване на щастливия път.

Запиши крайната точка, партньорите, диапазоните и метода за възстановяване на една страница. Тази страница е runbook-ът, който ще четеш в най-неудобния момент.