Co potřebujete, než začnete hostovat vlastní VPN server?

Instalace serverového softwaru je nejkratší částí vlastnoručně hostované VPN a je to krok, kterým lidé začínají. Zda nasazení funguje, závisí na tom, jestli se klient dostane na koncový bod, co ten klient smí dosáhnout potom a jak se dostanete zpět dovnitř, když se rozbije právě tunel. Vyřešte všechny tři věci, než se spustí správce balíčků.

Dvě z nich jsou rozhodnutí o návrhu a třetí je provozní zvyk. Všechny tři se opravují levněji na papíře než během výpadku.

Rozhodněte, co mají klienti dosáhnout

Server pro vzdálený přístup potřebuje trasu do privátní sítě, kterou inzeruje, a zpáteční cestu pro odpovědi, což z něj dělá router pro tuto síť, ne jen posluchač. Server pro internetový výstup potřebuje přesměrování plus uspořádání adresování nebo překladu a dokončený handshake neposkytuje ani jedno. Vyberte úlohu dřív než topologii, protože oba návrhy se liší v routování, v pravidlech firewallu a v tom, co klient posílá tunelem. Server, po kterém se žádá obojí, potřebuje obě sady pravidel a odpovídající rozdělení výchozí trasy klienta.

Vyberte rozsahy tunelu a LAN, které nemohou kolidovat se sítěmi, jež vaši klienti už používají, protože notebook, který už drží 192.168.1.0/24, bude dál používat tuto trasu místo tunelu, který přiděluje stejný prefix. Zkontrolujte IPv4 a IPv6 odděleně, protože mnoho lidí udělá první správně a druhého si nikdy nevšimne. Tam, kde server stojí za dalším routerem, potvrďte dostupnost zvenčí, místo abyste věřili jednomu přesměrování portu, že popíše každou vrstvu.

Identity, klíče a cesta zpět

Vydávejte samostatnou identitu pro každé zařízení, kde to software podporuje, takže ztracený notebook znamená odvolání jednoho peeru místo přestavby serveru. Soukromé klíče patří do chráněného úložiště a nikdy do profilu vloženého do chatové zprávy. Cesta obnovy je ta část, kterou lidé přeskakují: přístup ke konzoli, sériová konzole nebo rozhraní pro správu mimo pásmo, které nezávisí na tunelu. Bez něj promění špatné pravidlo firewallu malou změnu v návštěvu na místě.

Napište postup odebrání současně s postupem zařazení. Odvolání zařízení je operace, kterou nakonec budete potřebovat, a snáze se popisuje, dokud je nastavení ještě čerstvé.

Koncový bod doma, nebo pronajatý?

O volbě mezi hostováním doma a pronájmem malé instance rozhodují tři podmínky. První je zda se příchozí spojení vůbec dostanou do vaší sítě, protože přeložený uplink na úrovni operátora nebo restriktivní síť budovy tuto možnost vylučují. Druhá je, zda se výstup musí objevit jinde než ve vašem městě, protože to mění jen pronajatý koncový bod. Třetí je chuť na druhý vztah důvěry, protože poskytovatel hostingu vstupuje do modelu a může koncový bod pozorovat, i když nemůže číst provoz.

Pokud je první podmínka splněna a druhá je nepodstatná, je hostování doma kratší cestou. Pronajatý koncový bod kupuje umístění a dostupnost, ne soukromí samo o sobě.

Dokažte to jedním klientem a restartem

Spusťte jednoho klienta, potvrďte zdroj, který má dosáhnout, a potvrďte, že přestane dosahovat to, co nemá. Níže uvedené příkazy ukazují stav peerů, trasy, které server nainstaloval, a zda je zapnuté přesměrování. Spusťte je, než zařadíte kohokoli dalšího.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Peer s nedávným handshakem je připojený, zatímco peer bez handshake nikdy nevyjednával, a to jsou různé poruchy. Vypnuté přesměrování vysvětluje tunel, který se zvedne a nic nepřenáší, takže zkontrolujte server, než obviníte klienta. Chybějící posluchač znamená, že služba nezačala s konfigurací, kterou si myslíte. Potom server záměrně restartujte a celou sadu zopakujte, protože tunel, který funguje jen do restartu, je častým výsledkem testování šťastné cesty.

Zapište koncový bod, peery, rozsahy a metodu obnovy na jednu stránku. Ta stránka je runbook, který budete číst v nejméně vhodnou chvíli.