Beth mae VPS yn rhaid iddo ganiatáu cyn iddo allu cynnal eich VPN

Mae’r enghraifft yn cychwyn, mae gosodiadau pecynnau’n llwyddo, ac mae’r gwasanaeth hyd yn oed yn adrodd cyflwr rhedeg, ond nid oes dim yn cysylltu. Mae’r patrwm hwnnw’n gyffredin ar weinyddion preifat rhithwir, oherwydd gall gwestelydd sy’n cyrraedd y rhyngrwyd yn esmwyth fod yn annalluog o hyd i greu’r rhyngwyneb y mae eich protocol yn ei eisiau. Mae pump archwiliad yn gwahanu gwesteiwr sy’n gallu gwasanaethu twnnel oddi wrth un sy’n edrych yn barod yn unig, ac mae’r archwiliad cyntaf sy’n methu fel arfer yn egluro popeth ar ei ôl. Mae pob un yn rhad ei redeg ac yn gorffen mewn penderfyniad yn hytrach na nodyn.

Cadarnhewch y rhyngwyneb y mae’r protocol ei angen

OpenVPN dros TUN mae angen y ddyfais nodau a’r modiwl cnewyllyn y tu ôl iddi; mae WireGuard angen ei gefnogaeth cnewyllyn ei hun neu weithrediad gofod defnyddiwr gyda disgwyliadau cyfatebol. Gall cynwysyddion a reolir rannu cnewyllyn gwesteiwr nad yw byth yn datgelu’r ddyfais, ac mae rhai platfformau’n gwahardd creu rhyngwynebau twnnel yn gyfan gwbl waeth beth sy’n cael ei osod.

Profwch y gallu yn lle darllen tudalen gefnogaeth, oherwydd mae labeli marchnata’n newid yn gyflymach na’r terfynau sylfaenol. Efallai na fydd rhestr nodweddion a ysgrifennwyd ar gyfer un cynllun yn disgrifio’r cnewyllyn y mae’r gwestelydd yn rhedeg arno mewn gwirionedd. Mae dau orchymyn byr yn ateb y cwestiwn ar gyfer y protocolau sy’n cael eu defnyddio’n gyffredin, ac mae’r ddau yn glanhau ar eu hôl. Nid yw’r gorchmynion isod yn creu dim parhaol ac maent yn cael eu tynnu ar unwaith.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Mae gwrthodiad ar y pâr cyntaf yn golygu nad yw TUN ar gael ac na all modd rhagosodedig OpenVPN gychwyn; mae gwrthodiad ar y llinell olaf yn golygu bod rhyngwyneb cnewyllyn WireGuard ar goll. Mae’r ddogfennaeth cnewyllyn TUN/TAP yn disgrifio’r ddyfais y mae’r archwiliad cyntaf yn ei phrofi. Nid oes un o’r ddau fethiant yn cael ei drwsio trwy ailosod y pecyn VPN.

Cofiwch fod gan y llwybr sy’n dod i mewn ddau berchennog

Mae rheolau rhwydwaith y darparwr a thânwal y gwesteiwr yn systemau ar wahân, a rhaid i draffig oroesi’r ddau. Nid yw gwrandawr wedi’i rwymo ar y gwesteiwr yn golygu dim os yw grŵp diogelwch y darparwr yn gollwng y porth, ac nid yw rheol agored y darparwr yn gwneud dim os yw’r gwesteiwr yn gwrthod y pecyn. Gwiriwch y gwrandawr, yna rheolau’r gwesteiwr, yna panel y darparwr, yn y drefn honno, a chadarnhewch y protocol yn ogystal â rhif y porth. Neidio’n syth at banel y darparwr yw’r ffordd y mae pobl yn agor ystod nad oedd ei hangen.

UDP yw’r dioddefwr arferol: mae llawer o blatfformau’n caniatáu TCP yn rhagosodedig ac yn trin rheolau UDP fel cofnod ar wahân. Os yw’r enghraifft y tu ôl i NAT y darparwr yn hytrach na chael cyfeiriad cyhoeddus, mae anfon porthladdoedd ymlaen ar ochr y darparwr yn dod yn drydedd ffurfweddiad i’w chysoni.

Cynlluniwch y llwybr dychwelyd, nid yr allanfa yn unig

Mae gwasanaeth twnnel llawn angen anfon ymlaen wedi’i alluogi, cynllun cyfieithu neu lwybro ar gyfer traffig cleientiaid, a llwybr dychwelyd sy’n cyrraedd y pwll cleientiaid. Nid yw agor gwrandawr yn darparu’r un o’r rhain. Mae twnnel sy’n sefydlu ond nad yw’n cario traffig defnyddiol fel arfer yn methu yma yn hytrach nag wrth ddilysu. Triniwch ysgwyd llaw llwyddiannus fel dechrau’r diagnosis, nid fel ei ddiwedd.

Ysgrifennwch y cynllun fel tri phenderfyniad pendant: pa ystod ffynhonnell y mae cleientiaid yn ei chael, sut mae eu traffig yn gadael tuag at y rhyngrwyd, a sut mae atebion yn dod o hyd i’w ffordd yn ôl. Yna cadarnhewch fod y cnewyllyn yn cytuno â’r cynllun cyn profi cleient, fel nad yw anghysondeb tawel yn cael ei gamgymryd am fai ar ochr y cleient.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Penderfynwch ar y stori IPv6 yn bendant

Mae IPv6 yn dod trwy sawl mecanwaith sy’n ymddwyn yn wahanol i borth: cyfeiriad ar yr enghraifft, rhagddodiad wedi’i lwybro, neu ddim o gwbl. Dim ond rhagddodiad wedi’i lwybro sy’n gadael i’r gweinydd roi cyfeiriadau i gleientiaid yn y ffordd arferol. Mae cymryd yn ganiataol bod cyfeiriad IPv6 sy’n gweithio ar y gwesteiwr yn golygu rhagddodiad cleient defnyddiadwy yn gamgymeriad sy’n ymddangos yn ddiweddarach fel cysylltedd hanner torcalonnus. Hwn yw’r math o fai sy’n goroesi pob prawf a wneir ag IPv4 yn unig.

Os nad yw’r darparwr yn llwybro unrhyw raggddodiad, penderfynwch a yw’r twnnel ar gyfer IPv4 yn unig ac a ddylid dweud wrth gleientiaid. Mae absenoldeb wedi’i ddogfennu’n fwy diogel na ffurfweddiad rhannol sy’n taflu cyrchfannau IPv6 i dwll du yn ddistaw i ddefnyddwyr sy’n gysylltiedig.

Profwch ef o gleient allanol

Mae statws gwasanaeth lleol yn disgrifio un broses ar un gwesteiwr. Y prawf defnyddiol yw cleient awdurdodedig ar rwydwaith gwahanol, yn cysylltu â’r proffil rydych chi’n bwriadu ei ddosbarthu, yna’n cyrraedd cymhwysiad ac yn datrys enw. Ailgysylltwch unwaith hefyd, oherwydd mae twnnel sy’n gweithio dim ond ar yr ymgais gyntaf yn methu’r gofyniad sydd bwysicaf yn ymarferol.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Cadwch y pethau sylfaenol gweithredol wrth ymyl y prawf: lle ar gyfer diweddariadau, logiau wedi’u cyfyngu, mynediad gweinyddol nad yw’n dibynnu ar y twnnel, consol adfer, a nodyn am yr hyn sy’n digwydd i broffiliau cleientiaid pan fydd yr enghraifft yn cael ei hailadeiladu ac mae ei chyfeiriad cyhoeddus yn newid. Os nad yw rhyngwyneb neu fodel anfon ymlaen gofynnol ar gael o gwbl, ni fydd unrhyw newid ar ochr y cleient yn ei ddarparu, a’r cam nesaf gonest yw math gwahanol o enghraifft yn hytrach na mwy o ffurfweddiad.