Mire van szükséged, mielőtt saját VPN-kiszolgálót üzemeltetsz?

A kiszolgálószoftver telepítése a saját üzemeltetésű VPN legrövidebb része, és ez az a lépés, amellyel az emberek kezdik. Azon múlik, hogy működik-e a telepítés, hogy egy ügyfél eléri-e a végpontot, mit érhet el az az ügyfél utána, és hogyan jutsz vissza, amikor éppen az alagút az, ami elromlott. Mindhármat rendezd, mielőtt a csomagkezelő lefut.

Ebből kettő tervezési döntés, a harmadik pedig üzemeltetési szokás. Mindhármat olcsóbb papíron kijavítani, mint egy kiesés közben.

Döntsd el, mit érjenek el az ügyfelek

A távoli hozzáférésű kiszolgálónak útvonalra van szüksége a hirdetett magánhálózat felé és visszaútra a válaszokhoz, ami útválasztóvá teszi azt a hálózatot illetően, nem csupán hallgatóvá. Az internetes kilépő kiszolgálónak továbbításra, valamint címzési vagy fordítási megoldásra van szüksége, és egy befejezett kézfogás egyiket sem adja. Válaszd a feladatot a topológia előtt, mert a két terv különbözik az útválasztásban, a tűzfalszabályokban és abban, mit küld az ügyfél az alagúton. Az a kiszolgáló, amelytől mindkettőt kérik, mindkét szabálykészletet igényli, valamint az ügyfél alapértelmezett útvonalának megfelelő felosztását.

Olyan alagút- és LAN-tartományokat válassz, amelyek nem ütközhetnek az ügyfeleid által már használt hálózatokkal, mert egy laptop, amelyen már van 192.168.1.0/24, továbbra is azt az útvonalat használja majd az azonos előtagot osztó alagút helyett. Ellenőrizd az IPv4-et és az IPv6-ot külön, mert sokaknak az első sikerül, a másodikat pedig soha nem veszik észre. Ahol a kiszolgáló egy másik útválasztó mögött áll, kívülről igazold az elérhetőséget, ahelyett hogy egyetlen porttovábbításra bíznád minden réteg leírását.

Identitások, kulcsok és visszavezető út

Eszközönként külön identitást adj ki ott, ahol a szoftver támogatja, így egy elveszett laptop egyetlen partner visszavonását jelenti a kiszolgáló újjáépítése helyett. A privát kulcsok védett tárhelyre valók, és soha nem egy csevegőüzenetbe illesztett profilba. A helyreállítási út az a rész, amelyet az emberek kihagynak: konzolhozzáférés, soros konzol vagy sávon kívüli felügyeleti felület, amely nem függ az alagúttól. Enélkül egy rossz tűzfalszabály egy kis változtatást helyszíni látogatássá változtat.

Írd meg az eltávolítási eljárást ugyanakkor, amikor a beléptetési eljárást. Egy eszköz visszavonása olyan művelet, amelyre előbb-utóbb szükséged lesz, és könnyebb leírni, amíg a beállítás még friss.

Otthoni vagy bérelt végpont?

Három feltétel dönt az otthoni üzemeltetés és egy kis példány bérlése között. Az első az, hogy a bejövő kapcsolatok egyáltalán elérik-e a hálózatodat, mert egy szolgáltatói szinten fordított feltöltő kapcsolat vagy egy korlátozó épülethálózat kizárja ezt a lehetőséget. A második az, hogy a kilépésnek a saját városodtól eltérő helyen kell-e megjelennie, mert ezt csak egy bérelt végpont változtatja meg. A harmadik a második bizalmi viszony iránti hajlandóság, mert a tárhelyszolgáltató bekerül a modellbe, és megfigyelheti a végpontot akkor is, amikor nem tudja olvasni a forgalmat.

Ha az első feltétel teljesül és a második lényegtelen, az otthoni üzemeltetés a rövidebb út. Egy bérelt végpont helyszínt és rendelkezésre állást vásárol, nem önmagában magánéletet.

Bizonyítsd egy ügyféllel és egy újraindítással

Indíts el egy ügyfelet, igazold az erőforrást, amelyet el kell érnie, és igazold, hogy abbahagyja annak elérését, amit nem szabadna. Az alábbi parancsok a partnerek állapotát, a kiszolgáló által telepített útvonalakat és a továbbítás engedélyezettségét mutatják. Futtasd őket, mielőtt bárki mást beléptetnél.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Egy friss kézfogással rendelkező partner csatlakoztatva van, míg egy kézfogás nélküli partner soha nem tárgyalt, és ezek különböző hibák. A kikapcsolt továbbítás megmagyarázza az alagutat, amely felmegy és semmit sem visz, ezért ellenőrizd a kiszolgálót, mielőtt az ügyfelet hibáztatnád. Egy hiányzó hallgató azt jelenti, hogy a szolgáltatás nem a feltételezett konfigurációval indult. Utána szándékosan indítsd újra a kiszolgálót, és ismételd meg az egész készletet, mert a csak újraindításig működő alagút a boldog út tesztelésének gyakori eredménye.

Jegyezd fel a végpontot, a partnereket, a tartományokat és a helyreállítási módot egyetlen oldalra. Az az oldal a kézikönyv, amelyet a legkevésbé alkalmas pillanatban fogsz olvasni.