¿Qué necesitas antes de alojar tu propio servidor VPN?

Instalar el software del servidor es la parte más corta de una VPN autoalojada, y es el paso por el que la gente empieza. Que el despliegue funcione depende de si un cliente puede alcanzar el extremo, de qué puede alcanzar después ese cliente y de cómo vuelves a entrar cuando el túnel es precisamente lo que se ha roto. Resuelve las tres cosas antes de que se ejecute el gestor de paquetes.

Dos son decisiones de diseño y la tercera es un hábito operativo. Las tres son más baratas de corregir sobre el papel que durante una caída.

Decide qué deben alcanzar los clientes

Un servidor de acceso remoto necesita una ruta hacia la red privada que anuncia y un camino de vuelta para las respuestas, lo que lo convierte en un enrutador de esa red y no solo en un oyente. Un servidor de salida a internet necesita reenvío más un esquema de direccionamiento o de traducción, y un handshake completado no aporta ninguna de las dos cosas. Elige la tarea antes que la topología, porque los dos diseños difieren en enrutamiento, reglas de cortafuegos y en lo que el cliente envía por el túnel. Un servidor al que se le piden ambas cosas necesita los dos conjuntos de reglas y un reparto coherente de la ruta predeterminada del cliente.

Elige rangos de túnel y de LAN que no puedan chocar con redes que tus clientes ya usen, ya que un portátil que ya tiene 192.168.1.0/24 seguirá usando esa ruta en lugar de un túnel que reparta el mismo prefijo. Comprueba IPv4 e IPv6 por separado, porque mucha gente acierta con el primero y nunca se da cuenta del segundo. Donde el servidor está detrás de otro enrutador, confirma el alcance desde fuera en lugar de confiar en una sola redirección de puerto para describir todas las capas.

Identidades, claves y una forma de volver a entrar

Emite una identidad separada por dispositivo allí donde el software lo permita, de modo que un portátil perdido signifique revocar un solo par en vez de reconstruir el servidor. Las claves privadas van a un almacenamiento protegido y nunca a un perfil pegado en un mensaje de chat. El camino de recuperación es la parte que la gente se salta: acceso a la consola, una consola serie o una interfaz de gestión fuera de banda que no dependa del túnel. Sin una de ellas, una mala regla de cortafuegos convierte un cambio pequeño en una visita al sitio.

Escribe el procedimiento de retirada al mismo tiempo que el de alta. Revocar un dispositivo es una operación que acabarás necesitando, y es más fácil de describir mientras la instalación sigue fresca.

¿Extremo en casa o alquilado?

Tres condiciones deciden entre alojar en casa y alquilar una instancia pequeña. La primera es si las conexiones entrantes pueden llegar a tu red, ya que un uplink traducido de nivel de operador o una red de edificio restrictiva eliminan la opción. La segunda es si la salida debe aparecer en otro lugar que tu propia ciudad, porque solo un extremo alquilado cambia eso. La tercera es el apetito por una segunda relación de confianza, porque un proveedor de alojamiento entra en el modelo y puede observar el extremo incluso cuando no puede leer el tráfico.

Si la primera condición se cumple y la segunda es irrelevante, alojar en casa es el camino más corto. Un extremo alquilado compra ubicación y disponibilidad, no privacidad por sí solo.

Demuéstralo con un cliente y un reinicio

Levanta un cliente, confirma el recurso que debe alcanzar y confirma que deja de alcanzar lo que no debería. Los comandos de abajo muestran el estado de los pares, las rutas que instaló el servidor y si el reenvío está activado. Ejecútalos antes de dar de alta a nadie más.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Un par con un handshake reciente está conectado, mientras que un par sin handshake nunca negoció, y son fallos distintos. El reenvío desactivado explica un túnel que sube y no transporta nada, así que revisa el servidor antes de culpar al cliente. Un oyente ausente significa que el servicio no arrancó con la configuración que crees. Después reinicia el servidor a propósito y repite todo el conjunto, porque un túnel que solo funciona hasta el reinicio es un resultado habitual de probar el camino feliz.

Apunta el extremo, los pares, los rangos y el método de recuperación en una sola página. Esa página es el manual de operaciones que leerás en el momento menos oportuno.