अपना VPN सर्वर होस्ट करने से पहले क्या तय करना ज़रूरी है?

सर्वर सॉफ़्टवेयर इंस्टॉल करना खुद होस्ट किए गए VPN का सबसे छोटा हिस्सा है, और लोग शुरुआत इसी कदम से करते हैं। तैनाती काम करेगी या नहीं, यह इस पर निर्भर करता है कि कोई क्लाइंट एंडपॉइंट तक पहुँच पाता है या नहीं, उसके बाद वह क्लाइंट कहाँ तक पहुँच सकता है, और जब टनल ही टूटा हो तब आप अंदर कैसे लौटते हैं। पैकेज मैनेजर चलने से पहले तीनों तय कर लें।

इनमें से दो डिज़ाइन फ़ैसले हैं और तीसरा ऑपरेशन की आदत है। तीनों को काग़ज़ पर ठीक करना आउटेज के दौरान ठीक करने से सस्ता है।

तय करें कि क्लाइंट को कहाँ पहुँचना चाहिए

रिमोट-एक्सेस सर्वर को उस निजी नेटवर्क तक रूट चाहिए जिसकी वह घोषणा करता है, और जवाबों के लिए वापसी रास्ता भी, जिससे वह उस नेटवर्क का राउटर बन जाता है, सिर्फ़ सुनने वाला नहीं। इंटरनेट-एग्ज़िट सर्वर को फ़ॉरवर्डिंग के साथ पता-निर्धारण या अनुवाद की व्यवस्था चाहिए, और पूरा हुआ हैंडशेक दोनों में से कुछ नहीं देता। टोपोलॉजी से पहले काम तय करें, क्योंकि दोनों डिज़ाइन रूटिंग, फ़ायरवॉल नियमों और इस बात में अलग हैं कि क्लाइंट टनल से क्या भेजता है। दोनों काम माँगे जाने पर सर्वर को दोनों नियम-समूह और क्लाइंट के डिफ़ॉल्ट रूट का मेल खाता बँटवारा चाहिए।

टनल और LAN की रेंज ऐसी चुनें जो आपके क्लाइंट पहले से इस्तेमाल कर रहे नेटवर्क से टकरा न सकें, क्योंकि जिस लैपटॉप के पास पहले से 192.168.1.0/24 है, वह उसी प्रीफ़िक्स को देने वाली टनल के बजाय उसी रूट का इस्तेमाल करता रहेगा। IPv4 और IPv6 अलग-अलग जाँचें, क्योंकि बहुत लोग पहला सही करते हैं और दूसरा कभी नहीं देख पाते। जहाँ सर्वर किसी दूसरे राउटर के पीछे हो, वहाँ हर परत को समझाने वाले एक पोर्ट-फ़ॉरवर्ड पर भरोसा करने के बजाय बाहर से पहुँच की पुष्टि करें।

पहचान, कुंजियाँ और लौटने का रास्ता

जहाँ सॉफ़्टवेयर समर्थन दे, हर डिवाइस के लिए अलग पहचान जारी करें, ताकि लैपटॉप खो जाने पर सर्वर दोबारा बनाने के बजाय एक पीयर रद्द करना पड़े। निजी कुंजियाँ सुरक्षित भंडार में रहनी चाहिए, कभी भी चैट संदेश में चिपकाए गए प्रोफ़ाइल में नहीं। रिकवरी का रास्ता वह हिस्सा है जिसे लोग छोड़ देते हैं: कंसोल पहुँच, सीरियल कंसोल, या टनल पर निर्भर न रहने वाला आउट-ऑफ़-बैंड प्रबंधन इंटरफ़ेस। इसके बिना एक ग़लत फ़ायरवॉल नियम छोटे बदलाव को साइट-विज़िट में बदल देता है।

निकालने की प्रक्रिया उसी समय लिखें जब नामांकन की प्रक्रिया लिखते हैं। डिवाइस रद्द करना एक ऐसा ऑपरेशन है जो एक दिन चाहिए ही होगा, और जब तक सेटअप ताज़ा है तब इसे समझाना आसान है।

घर का एंडपॉइंट या किराए पर लिया हुआ?

तीन शर्तें तय करती हैं कि घर पर होस्ट करें या छोटा इंस्टेंस किराए पर लें। पहली यह है कि इनकमिंग कनेक्शन आपके नेटवर्क तक पहुँचते भी हैं या नहीं, क्योंकि कैरियर-ग्रेड अनुवादित अपलिंक या सख़्त बिल्डिंग नेटवर्क इस विकल्प को हटा देते हैं। दूसरी यह है कि एग्ज़िट आपके शहर के अलावा कहीं दिखना ज़रूरी है या नहीं, क्योंकि इसे सिर्फ़ किराए पर लिया एंडपॉइंट बदलता है। तीसरी दूसरे भरोसे के रिश्ते की इच्छा है, क्योंकि होस्टिंग प्रदाता मॉडल में जुड़ जाता है और ट्रैफ़िक पढ़ न पाने पर भी एंडपॉइंट को देख सकता है।

अगर पहली शर्त पूरी हो और दूसरी अप्रासंगिक हो, तो घर पर होस्ट करना छोटा रास्ता है। किराए पर लिया एंडपॉइंट जगह और उपलब्धता खरीदता है, अपने आप में निजता नहीं।

एक क्लाइंट और एक रीस्टार्ट से साबित करें

एक क्लाइंट चालू करें, पुष्टि करें कि वह वह संसाधन पा रहा है जो उसे मिलना चाहिए, और यह भी कि वह उन तक पहुँचना बंद कर दे जहाँ उसे नहीं पहुँचना चाहिए। नीचे दिए कमांड पीयर की स्थिति, सर्वर द्वारा लगाए गए रूट और यह दिखाते हैं कि फ़ॉरवर्डिंग चालू है या नहीं। किसी और को नामांकित करने से पहले इन्हें चलाएँ।

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

हाल के हैंडशेक वाला पीयर जुड़ा है, जबकि बिना हैंडशेक वाले पीयर ने कभी बातचीत ही नहीं की, और ये अलग-अलग विफलताएँ हैं। फ़ॉरवर्डिंग बंद होना ऐसी टनल समझाता है जो उठती है और कुछ नहीं ढोती, इसलिए क्लाइंट को दोष देने से पहले सर्वर जाँचें। सुनने वाला मौजूद न होना बताता है कि सेवा उस कॉन्फ़िगरेशन से शुरू नहीं हुई जो आप सोच रहे हैं। फिर जानबूझकर सर्वर रीस्टार्ट करें और पूरा सेट दोहराएँ, क्योंकि सिर्फ़ रीस्टार्ट तक चलने वाली टनल आसान रास्ता परखने का आम नतीजा है।

एंडपॉइंट, पीयर, रेंज और रिकवरी का तरीका एक पन्ने पर लिखें। वही पन्ना वह रनबुक है जिसे आप सबसे कम सुविधाजनक पल में पढ़ेंगे।