Ruuter või eraldi arvuti teie VPN-serverina: kuidas valida

Nii ruuter kui ka väike arvuti suudavad VPN-i lõpetada ja otsus ei sõltu harva läbilaskevõimest. See sõltub sellest, kes rakendab uuendust kell kaks öösel, mis veel peatub, kui see seade taaskäivitub, ja kas pääsete ikka konsooli, kui just tunnel on see, mis katki läks. Vastake neile kolmele küsimusele iga kandidaadi puhul ja valik teeb end tavaliselt ise. Alljärgnev protseduur muudab võrdluse lühikeseks nimekirjaks asjadest, mida saate enne kohustumist kontrollida.

Alustage sellest, mis peab töös püsima, kui tunnel ebaõnnestub

Tõrge, mille jaoks tuleb projekteerida, on see, kui VPN-i protsess sureb ja peate ikkagi hostini jõudma. Ruuteril jagavad tunnel ja internetilüüs sama saatust: üks halb konfiguratsioonimuudatus võib mõlemad maha võtta ja taastamistee on sageli füüsiline lähtestamine. Eraldi arvutis jätkab lüüs tööd ja host on endiselt LAN-i kaudu kättesaadav. Millist neist tulemustest talute, otsustab rohkem kui ükski funktsioonide nimekiri.

Kirjutage vastus lausena: kui VPN-i host taaskäivitub, mida kaotab kodumajapidamine või kontor? Kui vastus hõlmab kogu internetiühendust, olete nõustunud jagatud tõrkevaldkonnaga ja peaksite seda meelega ütlema, selle asemel et seda hiljem avastada.

Teine teenus samal seadmel ei ole varukonsool. See jagab toiteallikat, püsivara ja administraatori kontot.

Loendage hoolduspinnad, mille iga host lisab

Ruuter toob tootja püsivara oma ilmumisrütmiga ja VPN-i funktsioon on tavaliselt üks moodul palju suuremas kujutises. Arvuti toob operatsioonisüsteemi, paketihalduri, tuuma ja hulga teenuseid, mis nüüd teile kuuluvad. Mõlemad vajavad paiku ja tegelik küsimus on, millist rütmi te uudsuse kadudes hoiate.

Linuxi hostis tehke see rütm nähtavaks, selle asemel et sellele loota. systemctl list-timers näitab ajastatud töid ja apt list --upgradable näitab, mis ootab. Kirjutage üles, millised uuendused nõuavad taaskäivitust, sest taaskäivituv VPN-i host on katkestus, kui te seda ei planeerinud. Ruuter, millel pole automaatset uuenduste teed, vajab selle asemel kalendrikannet, mis on nõrgem kontroll, aga aus.

Loendage ka kontod. Iga täiendav administraatori sisselogimine VPN-i hostis on veel üks mandaat, mida roteerida, ja veel üks tee, mida tühistada.

Jälgige privaatvõrgu teed, mitte seadme silti

Kliente ei huvita, kus server töötab; neid huvitab, kas kaitstud prefiksid on kättesaadavad ja kas tagasitee on olemas. Paigutage server sinna, kus marsruutimine on kõige lihtsam, mis tavaliselt tähendab otse segmenti, mis hoiab ressursse. Ruuteri taga olev arvuti vajab endiselt pordi edastamist ja selle LAN-i ressursid vajavad endiselt marsruuti tagasi tunneli alamsuunda.

Kontrollige hosti edastamist enne, kui klienti süüdistate. sysctl net.ipv4.ip_forward peaks teatama 1 ja nft list ruleset või iptables -S näitab, kas tunneli liidesel on üldse lubatud edastada. Puuduv masquerade-reegel näeb kliendi poolelt täpselt välja nagu katkine tunnel.

Otsustage ka, mida tunnel ei tohi saavutada. Ruuterile paigutatud server näeb iga alamsuunda, mida see ruuter marsruudib, ja see on sageli rohkem, kui juurdepääsupoliitika kavatseb. Eraldi hostis on sama isolatsioon ühe tulemüürireegli kaugusel ja kompromiteeritud kliendi kahjuraadius väiksem. RFC 7296 IPsec-lüüsi kirjeldus käsitleb seda marsruutimise ja poliitika, mitte riistvara küsimusena, ja kumbki kuju ei ole vaikimisi turvalisem, kuni poliitika on kirja pandud.

Hoidke taastamiskonsooli, mis ei sõltu tunnelist

Konsool, millega VPN-i parandate, ei saa olla VPN ise. Hoidke LAN-aadressi, jadakonsole või teenusepakkuja konsooli, mis töötab, kui tunnel maas on, ja kasutage seda vähemalt korra enne, kui seda vajate. Välisvööndi tee, mida pole kunagi harjutatud, on plaan, mitte võimekus.

Tehke konfiguratsioonist varukoopia kuhugi, kust host ise seda kustutada ei saa. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn haarab võtmed ja teenuste definitsioonid ning koopia peab masinast lahkuma. Lisage tulemüürireeglid ja klientide loend, sest võtmete taastamine ilma partnerite loendita annab serveri, millega keegi liituda ei saa. Hoidke arhiivi seal, kuhu taastamiskonsool pääseb.

Kirjutage tagasipööramise samm samasse märkmesse. Konfiguratsioonimuudatus ilma dokumenteeritud pööramiseta on püsiv muudatus, ükskõik milline kavatsus oli.

Kontrollige valikut taaskäivituse ja uuendusega

Testige lahendust nii, nagu see ebaõnnestub, mitte nii, nagu see heal päeval töötab. Taaskäivitage host, rakendage ootel uuendus ja kinnitage, et tunnel naaseb ilma käsitsi sammudeta.

Pärast taaskäivitust kontrollige kolme asja, mis kõige sagedamini katkevad. systemctl is-active wg-quick@wg0 teatab, kas liides tuli tagasi, ss -lunp näitab, kas midagi kuulab pordil, ja wg show loetleb partneri, kellel on lõpetatud kätlus. Aktiivne teenus ilma kätluseta tähendab, et tulemüür või marsruut on vale, mitte deemon.

Korrake kontrolli kliendist teises võrgus kui see, millest konfigureerisite. Kui tunnel peab vastu taaskäivitusele, uuendusele ja kliendi võrgu vahetusele, on hosti valik praegu otsustatud. Kui mitte, on puuduv tükk tavaliselt dokumenteeritud samm, mitte teine seade.