Δρομολογητής ή ξεχωριστός υπολογιστής ως διακομιστής VPN: πώς να επιλέξετε

Και ο δρομολογητής και ένας μικρός υπολογιστής μπορούν να τερματίζουν ένα VPN, και η απόφαση σπάνια εξαρτάται από τη διεκπεραιωτική ικανότητα. Εξαρτάται από το ποιος εφαρμόζει την ενημέρωση στις δύο τα ξημερώματα, τι άλλο σταματά όταν επανεκκινεί αυτό το κουτί, και αν μπορείτε ακόμη να φτάσετε σε μια κονσόλα όταν αυτό που χάλασε είναι η σήραγγα. Απαντήστε σε αυτές τις τρεις ερωτήσεις για κάθε υποψήφιο και η επιλογή συνήθως γίνεται μόνη της. Η διαδικασία παρακάτω μετατρέπει τη σύγκριση σε έναν σύντομο κατάλογο πραγμάτων που μπορείτε να ελέγξετε πριν δεσμευτείτε.

Ξεκινήστε από το τι πρέπει να μείνει σε λειτουργία όταν αποτυγχάνει η σήραγγα

Η αστοχία για την οποία πρέπει να σχεδιάσετε είναι εκείνη όπου η διεργασία του VPN πεθαίνει και εσείς πρέπει να φτάσετε στον κεντρικό υπολογιστή παρόλα αυτά. Σε έναν δρομολογητή, η σήραγγα και η πύλη του διαδικτύου μοιράζονται την ίδια μοίρα: μια κακή αλλαγή διαμόρφωσης μπορεί να ρίξει και τα δύο, και η διαδρομή ανάκτησης είναι συχνά μια φυσική επαναφορά. Σε ξεχωριστό υπολογιστή, η πύλη συνεχίζει να λειτουργεί και ο κεντρικός υπολογιστής παραμένει προσβάσιμος μέσω του LAN. Ποιο από αυτά τα αποτελέσματα μπορείτε να ανεχτείτε κρίνει περισσότερα από οποιονδήποτε κατάλογο χαρακτηριστικών.

Γράψτε την απάντηση ως πρόταση: αν ο κεντρικός υπολογιστής του VPN επανεκκινήσει, τι χάνει το νοικοκυριό ή το γραφείο; Αν η απάντηση περιλαμβάνει όλη την πρόσβαση στο διαδίκτυο, έχετε δεχτεί ένα κοινό πεδίο αστοχίας και θα πρέπει να το πείτε σκόπιμα αντί να το ανακαλύψετε αργότερα.

Μια δεύτερη υπηρεσία στην ίδια συσκευή δεν είναι εφεδρική κονσόλα. Μοιράζεται το τροφοδοτικό, το firmware και τον λογαριασμό διαχειριστή.

Μετρήστε τις επιφάνειες συντήρησης που προσθέτει κάθε κεντρικός υπολογιστής

Ο δρομολογητής φέρνει firmware του κατασκευαστή με τον δικό του ρυθμό εκδόσεων, και η λειτουργία VPN είναι συνήθως μία μονάδα μέσα σε ένα πολύ μεγαλύτερο είδωλο. Ο υπολογιστής φέρνει ένα λειτουργικό σύστημα, έναν διαχειριστή πακέτων, έναν πυρήνα και ένα σύνολο υπηρεσιών που πλέον σας ανήκουν. Και τα δύο χρειάζονται ενημερώσεις κώδικα, και το πραγματικό ερώτημα είναι ποιον ρυθμό θα κρατήσετε όταν η καινοτομία ξεθωριάσει.

Σε κεντρικό υπολογιστή Linux, κάντε αυτόν τον ρυθμό ορατό αντί να ελπίζετε σε αυτόν. systemctl list-timers δείχνει τις προγραμματισμένες εργασίες και apt list --upgradable δείχνει τι περιμένει. Καταγράψτε ποιες ενημερώσεις χρειάζονται επανεκκίνηση, γιατί ένας κεντρικός υπολογιστής VPN που επανεκκινεί είναι διακοπή εκτός αν το είχατε σχεδιάσει. Ένας δρομολογητής χωρίς αυτόματη διαδρομή ενημερώσεων χρειάζεται αντ’ αυτού μια καταχώριση ημερολογίου, που είναι ασθενέστερος έλεγχος αλλά ειλικρινής.

Μετρήστε και τους λογαριασμούς. Κάθε πρόσθετη σύνδεση διαχειριστή στον κεντρικό υπολογιστή του VPN είναι άλλο ένα διαπιστευτήριο προς εναλλαγή και άλλη μια διαδρομή προς ανάκληση.

Ακολουθήστε τη διαδρομή του ιδιωτικού δικτύου, όχι την ετικέτα στο κουτί

Στους πελάτες δεν έχει σημασία πού εκτελείται ο διακομιστής· τους ενδιαφέρει αν τα προστατευμένα προθέματα είναι προσβάσιμα και αν υπάρχει διαδρομή επιστροφής. Τοποθετήστε τον διακομιστή εκεί όπου η δρομολόγηση είναι απλούστερη, που συνήθως σημαίνει απευθείας στο τμήμα που κρατά τους πόρους. Ένας υπολογιστής πίσω από τον δρομολογητή εξακολουθεί να χρειάζεται προώθηση θύρας, και οι πόροι σε εκείνο το LAN εξακολουθούν να χρειάζονται διαδρομή πίσω στο υποδίκτυο της σήραγγας.

Ελέγξτε την προώθηση στον κεντρικό υπολογιστή πριν κατηγορήσετε τον πελάτη. Το sysctl net.ipv4.ip_forward θα πρέπει να αναφέρει 1, και το nft list ruleset ή το iptables -S δείχνει αν η διεπαφή της σήραγγας επιτρέπεται να προωθεί καθόλου. Ένας κανόνας masquerade που λείπει μοιάζει από την πλευρά του πελάτη ακριβώς με σπασμένη σήραγγα.

Αποφασίστε και τι δεν πρέπει να φτάνει η σήραγγα. Ένας διακομιστής τοποθετημένος στον δρομολογητή βλέπει κάθε υποδίκτυο που δρομολογεί αυτός ο δρομολογητής, και αυτό είναι συχνά περισσότερο από ό,τι σκοπεύει η πολιτική πρόσβασης. Σε ξεχωριστό κεντρικό υπολογιστή η ίδια απομόνωση απέχει έναν κανόνα τείχους προστασίας, και η ακτίνα ζημιάς από έναν παραβιασμένο πελάτη είναι μικρότερη. Η περιγραφή της πύλης IPsec στο RFC 7296 το αντιμετωπίζει ως ζήτημα δρομολόγησης και πολιτικής, όχι υλικού, και καμία από τις δύο μορφές δεν είναι ασφαλέστερη εξ ορισμού μέχρι να γραφτεί η πολιτική.

Κρατήστε μια κονσόλα ανάκτησης που δεν εξαρτάται από τη σήραγγα

Η κονσόλα που χρησιμοποιείτε για να επισκευάσετε το VPN δεν μπορεί να είναι το ίδιο το VPN. Κρατήστε μια διεύθυνση LAN, μια σειριακή κονσόλα ή μια κονσόλα παρόχου που λειτουργεί όσο η σήραγγα είναι κάτω, και χρησιμοποιήστε την τουλάχιστον μία φορά πριν τη χρειαστείτε. Μια διαδρομή εκτός ζώνης που δεν δοκιμάστηκε ποτέ είναι σχέδιο και όχι ικανότητα.

Πάρτε αντίγραφο ασφαλείας της διαμόρφωσης κάπου όπου ο ίδιος ο κεντρικός υπολογιστής δεν μπορεί να το διαγράψει. Το tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn συλλαμβάνει τα κλειδιά και τους ορισμούς υπηρεσιών, και το αντίγραφο πρέπει να φύγει από το μηχάνημα. Συμπεριλάβετε τους κανόνες του τείχους προστασίας και το απόθεμα πελατών, γιατί η επαναφορά κλειδιών χωρίς τη λίστα ομοτίμων παράγει διακομιστή στον οποίο δεν μπορεί να συνδεθεί κανείς. Αποθηκεύστε το αρχείο εκεί όπου μπορεί να φτάσει η κονσόλα ανάκτησης.

Γράψτε το βήμα επαναφοράς στην ίδια σημείωση. Μια αλλαγή διαμόρφωσης χωρίς τεκμηριωμένη αναστροφή είναι μόνιμη αλλαγή, όποια κι αν ήταν η πρόθεση.

Επαληθεύστε την επιλογή με επανεκκίνηση και ενημέρωση

Δοκιμάστε τη διάταξη όπως θα αποτύχει, όχι όπως λειτουργεί σε μια καλή μέρα. Επανεκκινήστε τον κεντρικό υπολογιστή, εφαρμόστε μια εκκρεμή ενημέρωση, και επιβεβαιώστε ότι η σήραγγα επιστρέφει χωρίς χειροκίνητα βήματα.

Μετά την επανεκκίνηση, ελέγξτε τα τρία πράγματα που σπάνε πιο συχνά. Το systemctl is-active wg-quick@wg0 αναφέρει αν επέστρεψε η διεπαφή, το ss -lunp δείχνει αν κάτι ακούει στη θύρα, και το wg show απαριθμεί έναν ομότιμο με ολοκληρωμένη χειραψία. Μια υπηρεσία που είναι ενεργή χωρίς χειραψία σημαίνει ότι το τείχος προστασίας ή η διαδρομή είναι λάθος, όχι ο δαίμονας.

Επαναλάβετε τον έλεγχο από πελάτη σε διαφορετικό δίκτυο από εκείνο από το οποίο διαμορφώσατε. Αν η σήραγγα επιβιώσει από επανεκκίνηση, ενημέρωση και αλλαγή δικτύου πελάτη, η επιλογή κεντρικού υπολογιστή έχει κριθεί προς το παρόν. Αν όχι, το κομμάτι που λείπει είναι συνήθως ένα τεκμηριωμένο βήμα και όχι άλλο κουτί.