Wat hasto nedich foardatst dyn eigen VPN-tsjinner hostest?

It ynstallearjen fan de tsjinnerprogramma is it koartste part fan in selshoste VPN, en it is de stap dêr't minsken mei begjinne. Oft de útrulling wurket, hinget derfan ôf oft in kliïnt it einpunt berikke kin, wat dy kliïnt dêrnei berikke mei, en hoe'tsto weromkomsto as de tunnel it ding is dat stikken gien is. Beskied alle trije foardat de pakketbehearder draait.

Twa dêrfan binne ûntwerpbeslissingen en de tredde is in operasjonele gewoante. Alle trije binne goedkeaper om op papier te reparearjen as by in steuring.

Beslis wat kliïnten berikke moatte

In remote-toegang-tsjinner hat in rûte nei it partikuliere netwurk nedich dat er oankundiget, en in weromwei foar de antwurden, wat him in router foar dat netwurk makket ynstee fan allinnich in listener. In ynternet-útgong-tsjinner hat trochstjoering plus in adresserings- of oersettingsregeling nedich, en in foltôge handshake leveret gjin fan beide. Kies de taak foar de topology, want de twa ûntwerpen ferskille yn routing, firewallsregels en yn wat de kliïnt troch de tunnel stjoert. In tsjinner dy't frege wurdt om beide te dwaan, hat beide regelsets nedich en in passende ferdieling fan de standertrûte fan de kliïnt.

Kies tunnel- en LAN-berikken dy't net botsje kinne mei netwurken dy't dyn kliïnten al brûke, want in laptop dy't al 192.168.1.0/24 hat, sil dy rûte bliuwe brûken ynstee fan in tunnel dy't itselde foarheaksel útjout. Kontrolearje IPv4 en IPv6 apart, want in protte minsken krije de earste goed en fernimme de twadde nea. Wêr't de tsjinner efter in oare router sit, befêstigje berikberens fan bûten ynstee fan te fertrouwen op ien poartetrochstjoering om elke laach te beskriuwen.

Identiteiten, kaaien en in wei werom

Jou in aparte identiteit per apparaat út wêr't de software dat stipet, sadat in ferlern laptop it ynlûken fan ien peer betsjut ynstee fan it weropbouwen fan de tsjinner. Partikuliere kaaien hearre yn beskerme opslach en nea yn in profyl dat yn in chatberjocht plakt wurdt. De werstelwei is it part dat minsken oerslaan: konsoltagong, in searjele console, of in bûtenbâns behearynterface dat net fan de tunnel ôfhinklik is. Sûnder ien feroaret in minne firewallsregel in lytse feroaring yn in besite op lokaasje.

Skriuw de ferwideringsproseduere tagelyk mei de ynskriuwingsproseduere. It ynlûken fan in apparaat is in operaasje dy'tsto úteinlik nedich hast, en it is makliker te beskriuwen wylst de opset noch farsk is.

Einpunt thús of hierd?

Trije betingsten beslisse tusken hosten thús en it hieren fan in lytse ynstânsje. De earste is oft yngeande ferbiningen dyn netwurk hielendal berikke kinne, want in carrier-grade oersetten uplink of in beheinend gebou-netwurk hellet de opsje fuort. De twadde is oft de útgong earne oars as yn dyn eigen stêd ferskine moat, want allinnich in hierd einpunt feroaret dat. De tredde is nocht oan in twadde fertrouwensrelaasje, want in hostingprovider komt by it model en kin it einpunt waarnimme sels as er it ferkear net lêze kin.

As de earste betingst slagget en de twadde net relevant is, is hosten thús de koartere wei. In hierd einpunt keapet lokaasje en beskikberens ynstee fan privacy op himsels.

Bewiis it mei ien kliïnt en in werstart

Bring ien kliïnt omheech, befêstigje de boarne dy't er berikke moat, en befêstigje dat er ophâldt mei it berikken fan wat er net moat. De opdrachten hjirûnder litte peerstatus, de rûtes dy't de tsjinner ynstallearre, en oft trochstjoering oan is. Fier se út foardatsto immen oars ynskriuwst.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

In peer mei in resinte handshake is ferbûn, wylst in peer sûnder handshake nea ûnderhannele hat, en dat binne ferskillende flaters. Utskeakele trochstjoering ferklearret in tunnel dy't omheech komt en neat draacht, dus kontrolearje de tsjinner foardatsto de kliïnt de skuld joust. In ûntbrekkende listener betsjut dat de tsjinst net begûn is mei de konfiguraasje dy'tsto tinkst. Werstart dan de tsjinner bewust en werhelje de hiele set, want in tunnel dy't allinnich oant de werstart wurket, is in gewoan resultaat fan it testen fan it lokkige paad.

Skriuw it einpunt, de peers, de berikken en de werstelmetoade op ien side. Dy side is it runbook datsto op it minst gelegen momint lêze silst.