Router of aparte kompjûter as jo VPN-tsjinner: hoe te kiezen

Sawol in router as in lytse kompjûter kin in VPN beëinigje, en de beslissing hinget selden fan trochfier ôf. It hinget derfan ôf wa’t de update om twa oere nachts tapast, wat noch mear stopt as dat kastje werstart, en oft jo noch in console berikke kinne as it tunnel it ding is dat stikken gien is. Beäntwurdzje dy trije fragen foar elke kandidaat en de kar makket himsels meastentiids. De proseduere hjirûnder makket de ferliking ta in koarte list fan dingen dy’t jo kontrolearje kinne foar’t jo jo fêstlizze.

Begjin mei wat oerein bliuwe moat as it tunnel misselet

De flater dêr’t jo foar ûntwerpe moatte is dy wêrby’t it VPN-proses stjert en jo dochs by de host komme moatte. Op in router diele it tunnel en de ynternetpoarte ien lot: ien minne konfiguraasjeferoaring kin beide delhelje, en it werstelpaad is faak in fysike reset. Op in aparte kompjûter bliuwt de poarte wurkjen en is de host noch berikber oer de LAN. Hokker fan dy útkomsten jo ferneare kinne, beslút mear as hokker funksjelist dan ek.

Skriuw it antwurd as in sin: as de VPN-host werstartet, wat ferliest it húshâlden of it kantoar? As it antwurd alle ynternettagong omfettet, hawwe jo in dield flaterdomein akseptearre en moatte jo dat bewust sizze ynstee fan it letter te ûntdekken.

In twadde tsjinst op itselde apparaat is gjin reserveconsole. It dielt de stroomfoarsjenning, de firmware en it administratorakkount.

Tel de ûnderhâldsoerflakken dy’t elke host tafoeget

In router bringt firmware fan de fabrikant mei in eigen útjefteritme, en de VPN-funksje is meastentiids ien module yn in folle grutter byld. In kompjûter bringt in bestjoeringssysteem, in pakketbehearder, in kernel en in set tsjinsten dy’t jo no besitte. Beide hawwe patches nedich, en de echte fraach is hokker ritme jo hâlde as it nijichheid fuort is.

Meitsje dat ritme op in Linux-host sichtber ynstee fan derop te hoopjen. systemctl list-timers toant de plande taken en apt list --upgradable toant wat wachtet. Skriuw op hokker updates in werstart nedich hawwe, want in VPN-host dy’t werstartet is in ûnderbrekking, útsein as jo dêrfoar pland hawwe. In router sûnder automatyske updatewei hat ynstee in kalinderitem nedich, wat in swakkere kontrôle is mar in earlike.

Tel ek de akkounts. Elke ekstra administratoroanmelding op de VPN-host is noch in bewiis fan identiteit om te rotearjen en noch in paad om yn te lûken.

Folgje it paad fan it partikuliere netwurk, net it label op it kastje

Kliïnten skele it wêr’t de tsjinner rint; se skele it oft de beskerme foarheaksels berikber binne en oft der in weromwei is. Set de tsjinner dêr’t it routing it ienfâldichst is, wat meastentiids direkt op it segmint betsjut dat de boarnen hâldt. In kompjûter efter de router hat noch hieltyd poartefoarstjoering nedich, en de boarnen op dy LAN hawwe noch hieltyd in rûte werom nei it tunnelsubnet nedich.

Kontrolearje de foarstjoering op de host foar’t jo de kliïnt de skuld jouwe. sysctl net.ipv4.ip_forward soe 1 melde moatte, en nft list ruleset of iptables -S toant oft de tunnelinterface hielendal foarstjoere mei. In ûntbrekkende masquerade-regel liket fan de kliïntkant krekt as in stikken tunnel.

Beslút ek wat it tunnel net berikke mei. In tsjinner op de router sjocht elk subnet dat dy router routet, en dat is faak mear as it tagongbelied fan doel hat. Op in aparte host is deselde isolaasje ien firewall-regel fuort, en de skea-radius fan in kompromittearre kliïnt is lytser. De beskriuwing fan de IPsec-poarte yn RFC 7296 behannelet dit as in routing- en beliedsfraach, net in hardwarefraach, en gjin fan beide foarmen is standert feiliger oant it belied opskreaun is.

Hâld in werstelconsole dy’t net fan it tunnel ôfhinget

De console dy’t jo brûke om it VPN te reparearjen kin it VPN sels net wêze. Hâld in LAN-adres, in searjele console of in providerconsole dy’t wurket wylst it tunnel del is, en brûk it teminsten ien kear foar’t jo it nedich hawwe. In paad bûten de bân dat nea oefene is, is in plan en gjin fermogen.

Meitsje in reservekopy fan ’e konfiguraasje earne dêr’t de host sels it net fuortsmite kin. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn fettet de kaaiien en de tsjinstdefinysjes, en de kopy moat de masine ferlitte. Nim de firewall-regels en de kliïntynventaris mei, want kaaiien weromsette sûnder de partnerlist jout in tsjinner dêr’t nimmen by komme kin. Bewarje it argyf dêr’t de werstelconsole it berikke kin.

Skriuw de weromdraaistap yn deselde notysje. In konfiguraasjeferoaring sûnder dokumintearre weromdraaiing is in bliuwende feroaring, hokker bedoeling dan ek.

Ferifiearje de kar mei in werstart en in update

Test de opstelling sa’t it misselet, net sa’t it op in goede dei wurket. Werstart de host, pas in wachtende update ta, en befêstigje dat it tunnel sûnder hânmatige stappen weromkomt.

Kontrolearje nei de werstart de trije dingen dy’t it meast brekke. systemctl is-active wg-quick@wg0 meldt oft de interface weromkaam, ss -lunp toant oft der wat op de poarte harket, en wg show listet in partner mei in foltôge hânskud. In tsjinst dy’t aktyf is sûnder hânskud betsjut dat de firewall of de rûte ferkeard is, net de daemon.

Werhelje de kontrôle fan in kliïnt op in oar netwurk as dat jo fan konfigurearre hawwe. As it tunnel in werstart, in update en in feroaring fan kliïntnetwurk oerlibbet, is de hostkar foarearst beslikke. Sa net, is it ûntbrekkende stik meastentiids in dokumintearre stap ynstee fan in oar kastje.