Mida on vaja enne, kui hakkad oma VPN-serverit majutama?

Serveritarkvara paigaldamine on isemajutatud VPN-i lühim osa ja see on samm, millega inimesed alustavad. Kas juurutus töötab, sõltub sellest, kas klient jõuab lõpp-punktini, mida see klient pärast saab ja kuidas sa uuesti sisse pääsed, kui tunnel on just see, mis katki läks. Selgita kõik kolm enne, kui paketihaldur käivitub.

Kaks neist on disainiotsused ja kolmas on töövõte. Kõiki kolme on odavam paberil parandada kui katkestuse ajal.

Otsusta, milleni kliendid peavad jõudma

Kaugjuurdepääsuserveril on vaja marsruuti privaatvõrku, mida ta reklaamib, ja vastuste jaoks tagasiteed, mis teeb temast selle võrgu marsruuteri, mitte ainult kuulaja. Interneti-väljapääsuserveril on vaja edasisaatmist pluss adresseerimis- või tõlkeskeemi, ja lõpetatud käepigistus ei anna kumbagi. Vali ülesanne enne topoloogiat, sest kaks lahendust erinevad marsruutimise, tulemüürireeglite ja selle poolest, mida klient tunnelist saadab. Server, millelt nõutakse mõlemat, vajab mõlemat reeglistikku ja kliendi vaikemarsruudi sobivat jaotust.

Vali tunneli- ja LAN-vahemikud, mis ei saa kokku põrgata võrkudega, mida su kliendid juba kasutavad, sest sülearvuti, millel on juba 192.168.1.0/24, jätkab selle marsruudi kasutamist, mitte ei võta tunnelit, mis jagab sama prefiksit. Kontrolli IPv4 ja IPv6 eraldi, sest paljud saavad esimese õigeks ega märka teist kunagi. Seal, kus server asub teise marsruuteri taga, kinnita sissetulev kättesaadavus väljastpoolt, selle asemel et usaldada ühte pordisuunamist kirjeldama iga kihti.

Identiteedid, võtmed ja tee tagasi

Anna iga seadme jaoks eraldi identiteet seal, kus tarkvara seda toetab, nii et kaotatud sülearvuti tähendab ühe partneri tühistamist, mitte serveri uuesti ülesehitamist. Privaatvõtmed kuuluvad kaitstud hoiukohta ja mitte kunagi profiili, mis kleebitakse vestlusesse. Taastetee on see osa, mille inimesed vahele jätavad: konsoolile juurdepääs, jadakonsool või välisriba haldusliides, mis ei sõltu tunnelist. Ilma selleta muudab halb tulemüürireegel väikese muudatuse kohapealseks visiidiks.

Kirjuta eemaldamisprotseduur samal ajal liitumisprotseduuriga. Seadme tühistamine on toiming, mida sul lõpuks vaja läheb, ja seda on lihtsam kirjeldada, kui seadistus on veel värske.

Lõpp-punkt kodus või renditud?

Kolm tingimust otsustavad, kas majutada kodus või rentida väike instants. Esimene on kas sissetulevad ühendused üldse jõuavad sinu võrku, sest operaatori tasandil tõlgitud üleslink või piirav hoone võrk välistab selle valiku. Teine on, kas väljapääs peab ilmuma mujal kui sinu enda linnas, sest seda muudab ainult renditud lõpp-punkt. Kolmas on soov teise usaldussuhte järele, sest majutusteenuse pakkuja lisandub mudelisse ja võib lõpp-punkti jälgida ka siis, kui ei suuda liiklust lugeda.

Kui esimene tingimus on täidetud ja teine ebaoluline, on kodus majutamine lühem tee. Renditud lõpp-punkt ostab asukoha ja käideldavuse, mitte privaatsuse iseenesest.

Tõesta seda ühe kliendi ja taaskäivitusega

Tõsta üles üks klient, kinnita ressurss, milleni ta peab jõudma, ja kinnita, et ta lõpetab selle saavutamise, mida ei tohiks. Allolevad käsud näitavad partneri olekut, serveri paigaldatud marsruute ja seda, kas edasisaatmine on lubatud. Käivita need enne, kui kellegi teise liitad.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Hiljutise käepigistusega partner on ühendatud, samas kui käepigistuseta partner ei ole kunagi läbi rääkinud, ja need on erinevad tõrked. Väljalülitatud edasisaatmine seletab tunnelit, mis tõuseb ja ei kanna midagi, nii et kontrolli serverit enne, kui klienti süüdistad. Puuduv kuulaja tähendab, et teenus ei käivitunud konfiguratsiooniga, mida sa arvad. Seejärel taaskäivita server meelega ja korda kogu komplekti, sest tunnel, mis töötab ainult taaskäivituseni, on õnneliku tee testimise tavaline tulemus.

Kirjuta lõpp-punkt, partnerid, vahemikud ja taastemeetod ühele lehele. See leht on runbook, mida loed kõige ebamugavamal hetkel.