מה צריך לפני אירוח שרת VPN משלכם?

התקנת תוכנת השרת היא החלק הקצר ביותר ב-VPN שמתארחים בעצמכם, והיא השלב שאנשים מתחילים בו. אם הפריסה תעבוד תלוי בכך שלקוח מצליח להגיע לנקודת הקצה, במה אותו לקוח יכול להגיע אחר כך ובאיך חוזרים פנימה כשהמנהרה היא מה שנשבר. סגרו את שלושת הדברים לפני שמנהל החבילות רץ.

שניים מהם הם החלטות תכנון והשלישי הוא הרגל תפעולי. את שלושתם זול יותר לתקן על הנייר מאשר בזמן תקלה.

החליטו למה הלקוחות צריכים להגיע

שרת גישה מרחוק צריך מסלול אל הרשת הפרטית שהוא מכריז עליה ומסלול חזרה לתשובות, מה שהופך אותו לנתב של אותה רשת ולא רק מאזין. שרת יציאה לאינטרנט צריך העברה וכן סידור של כתובות או תרגום, ולחיצת יד שהושלמה לא מספקת אף אחד מהם. בחרו את התפקיד לפני הטופולוגיה, כי שתי התכנונות נבדלות בניתוב, בכללי חומת האש ובמה שהלקוח שולח דרך המנהרה. שרת שמבקשים ממנו את שניהם צריך את שתי מערכות הכללים ואת הפיצול המתאים של מסלול ברירת המחדל של הלקוח.

בחרו טווחי מנהרה ו-LAN שלא יכולים להתנגש ברשתות שהלקוחות שלכם כבר משתמשים בהן, כי מחשב נייד שכבר מחזיק 192.168.1.0/24 ימשיך להשתמש במסלול הזה במקום במנהרה שמחלקת את אותו קידומת. בדקו IPv4 ו-IPv6 בנפרד, כי רבים מצליחים בראשון ולא מבחינים בשני לעולם. במקום שהשרת יושב מאחורי נתב אחר, אשרו נגישות מבחוץ במקום לסמוך על העברת פורט אחת שתתאר כל שכבה.

זהויות, מפתחות ודרך חזרה

הנפיקו זהות נפרדת לכל מכשיר היכן שהתוכנה תומכת בכך, כך שמחשב נייד שאבד משמעו ביטול עמית אחד ולא בנייה מחדש של השרת. מפתחות פרטיים שייכים לאחסון מוגן ולעולם לא לפרופיל שמודבק בהודעת צ'אט. דרך השחזור היא החלק שאנשים מדלגים עליו: גישה לקונסולה, קונסולה סדרתית או ממשק ניהול מחוץ לרצועה שאינו תלוי במנהרה. בלעדיו כלל חומת אש גרוע הופך שינוי קטן לביקור באתר.

כתבו את הליך ההסרה יחד עם הליך הרישום. ביטול מכשיר הוא פעולה שתידרשו לה במוקדם או במאוחר, וקל יותר לתאר אותה כל עוד ההתקנה טרייה.

נקודת קצה בבית או בשכירות?

שלושה תנאים מכריעים בין אירוח בבית לבין שכירת מופע קטן. הראשון הוא האם חיבורים נכנסים מגיעים בכלל לרשת שלכם, כי קישור עולה מתורגם ברמת הספק או רשת בניין מגבילה מבטלים את האפשרות. השני הוא האם היציאה חייבת להופיע במקום אחר מעירכם, כי רק נקודת קצה שכורה משנה זאת. השלישי הוא הרצון ביחס אמון נוסף, כי ספק אחסון נכנס למודל ויכול לצפות בנקודת הקצה גם כשאינו יכול לקרוא את התעבורה.

אם התנאי הראשון מתקיים והשני לא רלוונטי, אירוח בבית הוא הדרך הקצרה. נקודת קצה שכורה קונה מיקום וזמינות ולא פרטיות כשלעצמה.

הוכיחו זאת עם לקוח אחד והפעלה מחדש

העלו לקוח אחד, אשרו שהוא מגיע למשאב שהוא צריך להגיע אליו, ואשרו שהוא מפסיק להגיע למה שהוא לא צריך. הפקודות שלמטה מציגות את מצב העמיתים, את המסלולים שהשרת התקין ואם ההעברה מופעלת. הריצו אותן לפני שאתם רושמים מישהו אחר.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

עמית עם לחיצת יד עדכנית מחובר, ואילו עמית בלי לחיצת יד מעולם לא ניהל משא ומתן, ואלה תקלות שונות. העברה כבויה מסבירה מנהרה שעולה ולא נושאת דבר, לכן בדקו את השרת לפני שאתם מאשימים את הלקוח. מאזין חסר אומר שהשירות לא עלה בתצורה שאתם חושבים. אחר כך הפעילו מחדש את השרת בכוונה וחזרו על כל הסט, כי מנהרה שעובדת רק עד ההפעלה מחדש היא תוצאה נפוצה של בדיקת המסלול המאושר.

רשמו את נקודת הקצה, העמיתים, הטווחים ואת שיטת השחזור בעמוד אחד. העמוד הזה הוא ספר ההפעלה שתקראו ברגע הכי פחות נוח.