Usmjerivač ili zasebno računalo kao vaš VPN poslužitelj: kako izabrati

I usmjerivač i malo računalo mogu zaključiti VPN, a odluka rijetko ovisi o propusnosti. Ovisi o tome tko primjenjuje ažuriranje u dva sata ujutro, što se još zaustavlja kada se taj uređaj ponovno pokrene i možete li još doći do konzole kada je tunel ono što se pokvarilo. Odgovorite na ta tri pitanja za svakog kandidata i izbor se obično sam nametne. Postupak u nastavku pretvara usporedbu u kratak popis stvari koje možete provjeriti prije nego što se obvežete.

Počnite od onoga što mora ostati u radu kada tunel zakaže

Kvar za koji treba projektirati je onaj u kojem VPN proces umre, a vi ipak morate doći do hosta. Na usmjerivaču tunel i internetski pristupnik dijele sudbinu: jedna loša promjena konfiguracije može oboriti oboje, a put oporavka često je fizički reset. Na zasebnom računalu pristupnik nastavlja raditi, a host je i dalje dostupan preko LAN-a. Koji od tih ishoda možete podnijeti odlučuje više od bilo kojeg popisa značajki.

Napišite odgovor kao rečenicu: ako se VPN host ponovno pokrene, što gubi kućanstvo ili ured? Ako odgovor uključuje sav pristup internetu, prihvatili ste zajedničku domenu kvara i to biste trebali reći namjerno, umjesto da to otkrijete kasnije.

Druga usluga na istom uređaju nije rezervna konzola. Ona dijeli napajanje, firmware i administratorski račun.

Prebrojite površine za održavanje koje svaki host dodaje

Usmjerivač donosi firmware proizvođača s vlastitim ritmom izdanja, a VPN značajka obično je jedan modul unutar mnogo veće slike. Računalo donosi operacijski sustav, upravitelj paketa, jezgru i skup usluga koje sada posjedujete. Oboje treba zakrpe, a pravo je pitanje koji ćete ritam zadržati kada novost izblijedi.

Na Linux hostu učinite taj ritam vidljivim umjesto da se u njega uzdate. systemctl list-timers prikazuje zakazane poslove, a apt list --upgradable prikazuje što čeka. Zabilježite koja ažuriranja zahtijevaju ponovno pokretanje, jer VPN host koji se ponovno pokreće znači prekid, osim ako ste ga planirali. Usmjerivač bez automatskog puta ažuriranja treba umjesto toga kalendarski unos, što je slabija kontrola, ali iskrena.

Prebrojite i račune. Svaka dodatna administratorska prijava na VPN hostu još je jedna vjerodajnica koju treba rotirati i još jedan put koji treba opozvati.

Slijedite put privatne mreže, a ne naljepnicu na uređaju

Klijente ne zanima gdje poslužitelj radi; zanima ih jesu li zaštićeni prefiksi dostupni i postoji li povratni put. Postavite poslužitelj tamo gdje je usmjeravanje najjednostavnije, što obično znači izravno na segmentu koji drži resurse. Računalo iza usmjerivača i dalje treba prosljeđivanje porta, a resursi na tom LAN-u i dalje trebaju put natrag prema podmreži tunela.

Provjerite prosljeđivanje na hostu prije nego okrivite klijenta. sysctl net.ipv4.ip_forward trebao bi prijaviti 1, a nft list ruleset ili iptables -S pokazuje smije li sučelje tunela uopće prosljeđivati. Pravilo masquerade koje nedostaje izgleda s klijentove strane točno kao pokvaren tunel.

Odredite i što tunel ne smije dosegnuti. Poslužitelj smješten na usmjerivaču vidi svaku podmrežu koju taj usmjerivač usmjerava, a to je često više nego što politika pristupa namjerava. Na zasebnom hostu ista je izolacija udaljena jedno pravilo vatrozida, a radijus štete od kompromitiranog klijenta manji. Opis IPsec pristupnika u RFC 7296 tretira to kao pitanje usmjeravanja i politike, a ne hardvera, i nijedan oblik nije sigurniji prema zadanim postavkama dok politika nije zapisana.

Zadržite konzolu za oporavak koja ne ovisi o tunelu

Konzola kojom popravljate VPN ne može biti sam VPN. Zadržite LAN adresu, serijsku konzolu ili konzolu pružatelja koja radi dok je tunel pao i upotrijebite je barem jednom prije nego što vam zatreba. Izvanpojasni put koji nikada nije iskušan je plan, a ne sposobnost.

Napravite sigurnosnu kopiju konfiguracije negdje gdje je sam host ne može izbrisati. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn hvata ključeve i definicije usluga, a kopija mora napustiti stroj. Uključite pravila vatrozida i popis klijenata, jer vraćanje ključeva bez popisa partnera stvara poslužitelj kojem se nitko ne može pridružiti. Pohranite arhivu tamo gdje je konzola za oporavak može dohvatiti.

Upišite korak vraćanja u istu bilješku. Promjena konfiguracije bez dokumentiranog vraćanja trajna je promjena, koja god bila namjera.

Provjerite izbor ponovnim pokretanjem i ažuriranjem

Testirajte raspored onako kako će zakazati, a ne kako radi na dobar dan. Ponovno pokrenite host, primijenite ažuriranje koje čeka i potvrdite da se tunel vraća bez ručnih koraka.

Nakon ponovnog pokretanja provjerite tri stvari koje se najčešće kvare. systemctl is-active wg-quick@wg0 izvješćuje je li se sučelje vratilo, ss -lunp pokazuje sluša li išta na portu, a wg show navodi partnera s dovršenim rukovanjem. Usluga koja je aktivna bez rukovanja znači da su vatrozid ili ruta pogrešni, a ne daemon.

Ponovite provjeru s klijenta na drugoj mreži od one s koje ste konfigurirali. Prijeđe li tunel ponovno pokretanje, ažuriranje i promjenu klijentske mreže, izbor hosta je za sada riješen. Ako ne, dio koji nedostaje obično je dokumentirani korak, a ne drugi uređaj.