Ĉu enkursigilo aŭ aparta komputilo kiel via VPN-servilo: kiel elekti

Kaj enkursigilo kaj malgranda komputilo povas fini VPN-on, kaj la decido malofte dependas de trafikkapacito. Ĝi dependas de tio, kiu aplikas la ĝisdatigon je la dua matene, kio alia haltas kiam tiu aparato restartas, kaj ĉu vi ankoraŭ povas atingi konzolon kiam la tunelo estas tio, kio rompiĝis. Respondu tiujn tri demandojn por ĉiu kandidato, kaj la elekto kutime faras sin mem. La proceduro sube transformas la komparon en mallongan liston de aferoj, kiujn vi povas kontroli antaŭ ol sindevontigi.

Komencu per tio, kio devas resti funkcianta kiam la tunelo fiaskas

La fiasko, por kiu oni devas projekti, estas tiu, en kiu la VPN-procezo mortas kaj vi tamen devas atingi la gastigan aparaton. Sur enkursigilo, la tunelo kaj la interreta pordego dividas sorton: unu malbona agorda ŝanĝo povas faligi ambaŭ, kaj la revenvojo ofte estas fizika restarigo. Sur aparta komputilo, la pordego daŭre funkcias, kaj la gastiga aparato restas atingebla tra la LAN. Kiun el tiuj rezultoj vi povas toleri decidas pli ol ajna trajtoprograma listo.

Skribu la respondon kiel frazon: se la VPN-gastiganto restartas, kion perdas la domanaro aŭ la oficejo? Se la respondo inkluzivas la tutan interretan aliron, vi akceptis komunan fiaskdomajnon kaj devus tion diri intence anstataŭ malkovri ĝin poste.

Dua servo sur la sama aparato ne estas rezerva konzolo. Ĝi dividas la elektroprovizon, la firmprogramaron kaj la administrantan konton.

Kalkulu la prizorgajn surfacojn, kiujn aldonas ĉiu gastiganto

Enkursigilo alportas firmprogramaron de la fabrikanto kun propra eldonritmo, kaj la VPN-funkcio kutime estas unu modulo interne de multe pli granda bildo. Komputilo alportas operaciumon, pakadministrilon, kernon kaj aron da servoj, kiujn vi nun posedas. Ambaŭ bezonas flikaĵojn, kaj la vera demando estas, kiun ritmon vi tenos post kiam la noveco forpasos.

Sur Linux-gastiganto, faru tiun ritmon videbla anstataŭ esperi pri ĝi. systemctl list-timers montras la planitajn taskojn, kaj apt list --upgradable montras, kio atendas. Notu, kiuj ĝisdatigoj bezonas restartigon, ĉar VPN-gastiganto, kiu restartas, estas interrompo krom se vi planis ĝin. Enkursigilo sen aŭtomata ĝisdatiga vojo anstataŭe bezonas kalendaran eron, kio estas pli malforta kontrolo sed honesta.

Kalkulu ankaŭ la kontojn. Ĉiu plia administranta ensaluto sur la VPN-gastiganto estas ankoraŭ unu akreditaĵo por rotacii kaj ankoraŭ unu vojo por revoki.

Spuru la vojon de la privata reto, ne la etikedon sur la aparato

Klientoj ne zorgas, kie la servilo funkcias; ili zorgas, ĉu la protektitaj prefiksoj estas atingeblaj kaj ĉu ekzistas revena vojo. Metu la servilon tie, kie la enkursigado estas plej simpla, kio kutime signifas rekte sur la segmento, kiu tenas la rimedojn. Komputilo malantaŭ la enkursigilo ankoraŭ bezonas pordan plusendadon, kaj la rimedoj en tiu LAN ankoraŭ bezonas vojon reen al la tunela subreto.

Kontrolu plusendadon sur la gastiganto antaŭ ol kulpigi la klienton. sysctl net.ipv4.ip_forward devus raporti 1, kaj nft list ruleset aŭ iptables -S montras, ĉu la tuna interfaco rajtas plusendi entute. Manka masquerade-regulo aspektas de la klienta flanko ĝuste kiel rompita tunelo.

Decidu ankaŭ, kion la tunelo ne rajtas atingi. Servilo metita sur la enkursigilo vidas ĉiun subreton, kiun tiu enkursigilo enkursigas, kaj tio ofte estas pli ol la alirpolitiko celas. Sur aparta gastiganto la sama izolo estas unu fajroŝirma regulo for, kaj la damaĝradiuso de kompromitita kliento estas pli malgranda. La priskribo de la IPsec-pordego en RFC 7296 traktas tion kiel demandon pri enkursigado kaj politiko, ne pri aparataro, kaj neniu el la du formoj estas pli sekura defaŭlte ĝis la politiko estas skribita.

Tenu restaŭran konzolon, kiu ne dependas de la tunelo

La konzolo, per kiu vi riparas la VPN-on, ne povas esti la VPN mem. Tenu LAN-adreson, serian konzolon aŭ provizantan konzolon, kiu funkcias dum la tunelo estas malsupre, kaj uzu ĝin almenaŭ unufoje antaŭ ol vi bezonos ĝin. Eksterzona vojo, kiu neniam estis ekzercita, estas plano anstataŭ kapablo.

Faru sekurkopion de la agordo ie, kie la gastiganto mem ne povas forigi ĝin. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn kaptas la ŝlosilojn kaj la servajn difinojn, kaj la kopio devas lasi la maŝinon. Inkluzivu la fajroŝirmajn regulojn kaj la klientan inventaron, ĉar restaŭri ŝlosilojn sen la samtavola listo produktas servilon, al kiu neniu povas aliĝi. Konservu la arkivon tie, kie la restaŭra konzolo povas atingi ĝin.

Skribu la revonan paŝon en la saman noton. Agorda ŝanĝo sen dokumentita inversigo estas permanenta ŝanĝo, kia ajn estis la intenco.

Kontrolu la elekton per restartigo kaj ĝisdatigo

Testu la aranĝon tiel, kiel ĝi fiaskos, ne tiel, kiel ĝi funkcias en bona tago. Restartigu la gastiganton, apliku atendan ĝisdatigon, kaj konfirmu, ke la tunelo revenas sen permanaj paŝoj.

Post la restartigo, kontrolu la tri aferojn, kiuj plej ofte rompiĝas. systemctl is-active wg-quick@wg0 raportas, ĉu la interfaco revenis, ss -lunp montras, ĉu io aŭskultas sur la pordo, kaj wg show listigas samtavolon kun finita manpremo. Servo, kiu estas aktiva sen manpremo, signifas, ke la fajroŝirmo aŭ la vojo estas malĝustaj, ne la demono.

Ripetu la kontrolon de kliento en alia reto ol tiu, el kiu vi agordis. Se la tunelo postvivas restartigon, ĝisdatigon kaj ŝanĝon de klienta reto, la elekto de gastiganto estas solvita por nun. Se ne, la mankanta peco kutime estas dokumentita paŝo anstataŭ alia aparato.