Router vagy különálló számítógép VPN-kiszolgálóként: hogyan válasszunk

Router és kis számítógép is lezárhat egy VPN-t, és a döntés ritkán az átbocsátóképességen múlik. Azon múlik, ki alkalmazza a frissítést hajnali kettőkor, mi más áll le, amikor az a doboz újraindul, és hogy elér-e még egy konzolt, amikor épp az alagút tört el. Válaszoljon erre a három kérdésre minden jelöltnél, és a választás általában magától megszületik. Az alábbi eljárás rövid listává alakítja az összehasonlítást arról, mit ellenőrizhet, mielőtt elköteleződik.

Kezdje azzal, aminek működnie kell, amikor az alagút meghibásodik

Az a hiba, amelyre tervezni kell, az, amikor a VPN-folyamat meghal, és magának a gazdagépnek akkor is elérhetőnek kell lennie. Routeren az alagút és az internetátjáró sorsa közös: egy rossz konfigurációváltozás mindkettőt leviheti, és a helyreállítás útja gyakran fizikai visszaállítás. Külön számítógépen az átjáró tovább működik, és a gazdagép a LAN-on át továbbra is elérhető. Hogy melyik kimenetet tudja elviselni, többet dönt, mint bármely funkciólista.

Írja le a választ egy mondatban: ha a VPN-gazdagép újraindul, mit veszít a háztartás vagy az iroda? Ha a válasz minden internetelérést magában foglal, közös hibatartományt fogadott el, és ezt szándékosan ki kell mondania, nem pedig később felfedeznie.

Egy második szolgáltatás ugyanazon az eszközön nem tartalék konzol. Osztozik a tápegységen, a firmware-en és az adminisztrátori fiókon.

Számolja meg a karbantartási felületeket, amelyeket az egyes gazdagépek hozzáadnak

A router a gyártó firmware-ét hozza saját kiadási ritmussal, és a VPN-funkció általában egy modul egy sokkal nagyobb lemezképen belül. A számítógép operációs rendszert, csomagkezelőt, kernelt és egy sor szolgáltatást hoz, amely most az Öné. Mindkettőnek javítások kellenek, és az igazi kérdés az, milyen ritmust tart meg, amikor az újdonság elmúlik.

Linux-gazdagépen tegye láthatóvá ezt a ritmust ahelyett, hogy remélne benne. systemctl list-timers mutatja az ütemezett feladatokat, és apt list --upgradable mutatja, mi vár. Jegyezze fel, mely frissítések igényelnek újraindítást, mert az újrainduló VPN-gazdagép kiesés, hacsak nem tervezte meg. Az automatikus frissítési útvonal nélküli routernek inkább egy naptárbejegyzésre van szüksége, ami gyengébb ellenőrzés, de őszinte.

Számolja a fiókokat is. Minden további adminisztrátori bejelentkezés a VPN-gazdagépen még egy rotálandó hitelesítő adat és még egy visszavonandó útvonal.

A privát hálózat útvonalát kövesse, ne a dobozon lévő címkét

Az ügyfeleket nem érdekli, hol fut a kiszolgáló; az érdekli őket, hogy a védett előtagok elérhetők-e, és van-e visszaút. Tegye a kiszolgálót oda, ahol az útválasztás a legegyszerűbb, ami általában azt jelenti, hogy közvetlenül arra a szegmensre, amely az erőforrásokat tartja. A router mögötti számítógépnek továbbra is kell porttovábbítás, és azon a LAN-on lévő erőforrásoknak továbbra is kell visszaút az alagút alhálózatába.

Ellenőrizze a továbbítást a gazdagépen, mielőtt az ügyfelet hibáztatja. sysctl net.ipv4.ip_forward 1-et kell jelentsen, és nft list ruleset vagy iptables -S megmutatja, hogy az alagút felülete egyáltalán továbbíthat-e. Egy hiányzó masquerade-szabály az ügyfél oldaláról pontosan úgy néz ki, mint egy törött alagút.

Azt is döntse el, mit nem érhet el az alagút. A routerre helyezett kiszolgáló minden alhálózatot lát, amelyet az a router továbbít, és ez gyakran több annál, mint amit a hozzáférési szabályzat szándékol. Külön gazdagépen ugyanaz az elkülönítés egy tűzfalszabály távolságra van, és egy kompromittált ügyfél kárterjedelme kisebb. Az RFC 7296 IPsec-átjáró leírása ezt útválasztási és szabályzati kérdésnek tekinti, nem hardverkérdésnek, és egyik forma sem biztonságosabb alapértelmezés szerint, amíg a szabályzat nincs leírva.

Tartson olyan helyreállító konzolt, amely nem függ az alagúttól

A konzol, amellyel a VPN-t javítja, nem lehet maga a VPN. Tartson LAN-címet, soros konzolt vagy szolgáltatói konzolt, amely működik, miközben az alagút áll, és használja legalább egyszer, mielőtt szüksége lenne rá. Egy sávon kívüli útvonal, amelyet soha nem gyakoroltak, terv és nem képesség.

Készítsen biztonsági másolatot a konfigurációról olyan helyen, ahonnan maga a gazdagép nem törölheti. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn rögzíti a kulcsokat és a szolgáltatásdefiníciókat, és a másolatnak el kell hagynia a gépet. Vegye bele a tűzfalszabályokat és az ügyféllistát, mert a kulcsok visszaállítása társlista nélkül olyan kiszolgálót ad, amelyhez senki nem tud csatlakozni. Tárolja az archívumot ott, ahonnan a helyreállító konzol eléri.

Írja a visszaállítási lépést ugyanabba a jegyzetbe. Dokumentált visszafordítás nélküli konfigurációváltozás állandó változás, bármi is volt a szándék.

Ellenőrizze a választást újraindítással és frissítéssel

Úgy tesztelje az elrendezést, ahogy meg fog hibásodni, nem úgy, ahogy egy jó napon működik. Indítsa újra a gazdagépet, alkalmazzon egy függőben lévő frissítést, és erősítse meg, hogy az alagút kézi lépések nélkül visszatér.

Újraindítás után ellenőrizze a három dolgot, amely a leggyakrabban elromlik. systemctl is-active wg-quick@wg0 jelenti, visszatért-e a felület, ss -lunp megmutatja, hallgat-e valami a porton, és wg show felsorol egy partnert befejezett kézfogással. Egy aktív, de kézfogás nélküli szolgáltatás azt jelenti, hogy a tűzfal vagy az útvonal a hibás, nem a démon.

Ismételje meg az ellenőrzést olyan ügyfélről, amely más hálózaton van, mint amelyről konfigurált. Ha az alagút túléli az újraindítást, a frissítést és az ügyfélhálózat váltását, a gazdagép választása egyelőre eldőlt. Ha nem, a hiányzó darab általában dokumentált lépés, nem másik doboz.