Router, nebo samostatný počítač jako váš VPN server: jak vybrat

VPN může ukončovat router i malý počítač a rozhodnutí málokdy závisí na propustnosti. Závisí na tom, kdo aktualizaci aplikuje ve dvě ráno, co dalšího se zastaví, když se ta krabice restartuje, a zda se ještě dostanete ke konzoli, když se rozbije právě tunel. Odpovězte na tyto tři otázky u každého kandidáta a volba se obvykle udělá sama. Postup níže mění srovnání na krátký seznam věcí, které můžete ověřit, než se zavážete.

Začněte tím, co musí zůstat v provozu, když tunel selže

Selhání, na které je třeba se připravit, je to, kdy proces VPN zemře a vy se přesto musíte dostat na hostitele. U routeru sdílejí tunel a internetová brána stejný osud: jedna špatná změna konfigurace může shodit obojí a cesta k obnově je často fyzický reset. U samostatného počítače brána dál funguje a hostitel je pořád dostupný přes LAN. Který z těchto výsledků snesete, rozhoduje víc než jakýkoli seznam funkcí.

Napište odpověď jako větu: když se hostitel VPN restartuje, co domácnost nebo kancelář ztratí? Pokud odpověď zahrnuje veškerý přístup k internetu, přijali jste sdílenou doménu selhání a měli byste to říct záměrně, místo abyste to objevili později.

Druhá služba na stejném zařízení není záložní konzole. Sdílí napájení, firmware a účet správce.

Spočítejte plochy údržby, které každý hostitel přidá

Router přináší firmware výrobce s vlastním tempem vydání a funkce VPN je obvykle jeden modul uvnitř mnohem většího obrazu. Počítač přináší operační systém, správce balíčků, jádro a sadu služeb, které teď vlastníte. Obojí potřebuje záplaty a skutečná otázka je, které tempo udržíte, až novost vyprchá.

Na linuxovém hostiteli to tempo zviditelněte, místo abyste v něj doufali. systemctl list-timers ukazuje naplánované úlohy a apt list --upgradable ukazuje, co čeká. Zapište, které aktualizace vyžadují restart, protože hostitel VPN, který se restartuje, je výpadek, pokud jste ho neplánovali. Router bez automatické cesty aktualizací potřebuje místo toho položku v kalendáři, což je slabší kontrola, ale poctivá.

Počítejte i účty. Každé další přihlášení správce na hostiteli VPN je další pověření k rotaci a další cesta ke zrušení.

Sledujte cestu privátní sítě, ne štítek na krabici

Klientům je jedno, kde server běží; zajímá je, zda jsou chráněné prefixy dostupné a zda existuje zpáteční cesta. Umístěte server tam, kde je směrování nejjednodušší, což obvykle znamená přímo na segment, který drží zdroje. Počítač za routerem stále potřebuje přesměrování portu a zdroje v té LAN stále potřebují cestu zpět do podsítě tunelu.

Ověřte přesměrování na hostiteli, než obviníte klienta. sysctl net.ipv4.ip_forward by měl hlásit 1 a nft list ruleset nebo iptables -S ukazuje, zda rozhraní tunelu vůbec smí přesměrovávat. Chybějící pravidlo masquerade vypadá z pohledu klienta přesně jako rozbitý tunel.

Určete také, čeho tunel nesmí dosáhnout. Server umístěný na routeru vidí každou podsíť, kterou tento router směruje, což je často víc, než záměr politiky přístupu. Na samostatném hostiteli je stejná izolace vzdálená jedno pravidlo firewallu a poloměr škod u kompromitovaného klienta je menší. Popis brány IPsec v RFC 7296 to chápe jako otázku směrování a politiky, nikoli hardwaru, a ani jedna podoba není ve výchozím stavu bezpečnější, dokud politika není napsaná.

Udržujte obnovovací konzoli, která nezávisí na tunelu

Konzole, kterou VPN opravujete, nemůže být sama VPN. Udržujte LAN adresu, sériovou konzoli nebo konzoli poskytovatele, která funguje, když tunel padne, a použijte ji alespoň jednou, než ji budete potřebovat. Mimosystémová cesta, která nebyla nikdy vyzkoušena, je plán, ne schopnost.

Zálohujte konfiguraci někam, kde ji sám hostitel nemůže smazat. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn zachytí klíče a definice služeb a kopie musí opustit stroj. Zahrňte pravidla firewallu a inventář klientů, protože obnovení klíčů bez seznamu protějšků vytvoří server, ke kterému se nikdo nepřipojí. Uložte archiv tam, kam se obnovovací konzole dostane.

Napište krok vrácení do stejné poznámky. Změna konfigurace bez zdokumentovaného zvratu je trvalá změna, ať byl úmysl jakýkoli.

Ověřte volbu restartem a aktualizací

Testujte uspořádání tak, jak selže, ne tak, jak funguje v dobrý den. Restartujte hostitele, aplikujte čekající aktualizaci a potvrďte, že se tunel vrací bez ručních kroků.

Po restartu zkontrolujte tři věci, které se lámou nejčastěji. systemctl is-active wg-quick@wg0 hlásí, zda se rozhraní vrátilo, ss -lunp ukazuje, zda na portu něco naslouchá, a wg show vypíše protějšek s dokončeným handshake. Služba, která je aktivní bez handshake, znamená, že chybný je firewall nebo trasa, ne démon.

Zopakujte kontrolu z klienta v jiné síti, než ze které jste konfigurovali. Pokud tunel přežije restart, aktualizaci i změnu klientské sítě, je volba hostitele prozatím vyřešená. Pokud ne, chybějící díl je obvykle zdokumentovaný krok, ne jiná krabice.