Què necessites abans d’allotjar el teu propi servidor VPN?

Instal·lar el programari del servidor és la part més curta d’una VPN autoallotjada, i és el pas amb què la gent comença. Si el desplegament funciona depèn de si un client pot arribar al punt final, què pot arribar a tocar aquell client després i com tornes a entrar quan el túnel és justament el que s’ha trencat. Resol les tres coses abans que s’executi el gestor de paquets.

Dues són decisions de disseny i la tercera és un hàbit operatiu. Les tres són més barates de corregir sobre el paper que durant una caiguda.

Decideix què han d’abastar els clients

Un servidor d’accés remot necessita una ruta cap a la xarxa privada que anuncia i un camí de tornada per a les respostes, cosa que el converteix en un encaminador d’aquella xarxa i no només en un oient. Un servidor de sortida a internet necessita reenviament més un esquema d’adreçament o de traducció, i un handshake complet no aporta cap de les dues coses. Tria la feina abans que la topologia, perquè els dos dissenys difereixen en encaminament, regles de tallafoc i en què envia el client pel túnel. Un servidor al qual es demanen les dues coses necessita els dos conjunts de regles i un repartiment coherent de la ruta per defecte del client.

Tria rangs de túnel i de LAN que no puguin xocar amb xarxes que els teus clients ja facin servir, ja que un portàtil que ja té 192.168.1.0/24 continuarà utilitzant aquella ruta en lloc d’un túnel que reparteixi el mateix prefix. Comprova IPv4 i IPv6 per separat, perquè molta gent encerta el primer i no s’adona mai del segon. On el servidor se situa darrere d’un altre encaminador, confirma l’abast des de fora en lloc de confiar que un sol redireccionament de port descrigui totes les capes.

Identitats, claus i una manera de tornar a entrar

Emiteix una identitat separada per dispositiu allà on el programari ho admeti, de manera que un portàtil perdut signifiqui revocar un sol parell en lloc de reconstruir el servidor. Les claus privades van a un emmagatzematge protegit i mai a un perfil enganxat en un missatge de xat. El camí de recuperació és la part que la gent s’estalvia: accés a la consola, una consola sèrie o una interfície de gestió fora de banda que no depengui del túnel. Sense una d’aquestes, una regla de tallafoc dolenta converteix un canvi petit en una visita al lloc.

Escriu el procediment de retirada al mateix temps que el d’alta. Revocar un dispositiu és una operació que tard o d’hora necessitaràs, i és més fàcil de descriure mentre la configuració encara és fresca.

Punt final a casa o llogat?

Tres condicions decideixen entre allotjar a casa i llogar una instància petita. La primera és si les connexions entrants poden arribar a la teva xarxa, ja que un enllaç ascendent traduït de nivell d’operador o una xarxa d’edifici restrictiva eliminen l’opció. La segona és si la sortida ha d’aparèixer en un lloc diferent de la teva ciutat, perquè només un punt final llogat ho canvia. La tercera és el gust per una segona relació de confiança, perquè un proveïdor d’allotjament entra al model i pot observar el punt final encara que no pugui llegir el trànsit.

Si la primera condició es compleix i la segona és irrellevant, allotjar a casa és el camí més curt. Un punt final llogat compra ubicació i disponibilitat, no privadesa per si sol.

Prova-ho amb un client i un reinici

Aixeca un client, confirma el recurs que ha d’abastar i confirma que deixa d’abastar allò que no hauria d’abastar. Les ordres de sota mostren l’estat dels parells, les rutes que el servidor ha instal·lat i si el reenviament està activat. Executa-les abans de donar d’alta ningú més.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Un parell amb un handshake recent està connectat, mentre que un parell sense handshake no ha negociat mai, i són fallades diferents. El reenviament desactivat explica un túnel que puja i no transporta res, així que revisa el servidor abans de culpar el client. Un oient absent vol dir que el servei no s’ha iniciat amb la configuració que et pensaves. Després reinicia el servidor expressament i repeteix tot el conjunt, perquè un túnel que només funciona fins al reinici és un resultat habitual de provar el camí feliç.

Anota el punt final, els parells, els rangs i el mètode de recuperació en una sola pàgina. Aquesta pàgina és el manual d’operacions que llegiràs en el moment menys convenient.