Երթուղիչ կամ առանձին համակարգիչ որպես ձեր VPN սերվեր. ինչպես ընտրել

Ե՛վ երթուղիչը, և՛ փոքր համակարգիչը կարող են ավարտել VPN-ը, և որոշումը հազվադեպ է կախված թողունակությունից։ Այն կախված է նրանից, թե ով է կիրառում թարմացումը գիշերվա ժամը երկուսին, ինչ այլ բան է կանգնում, երբ այդ տուփը վերագործարկվում է, և արդյոք դուք դեռ կարող եք հասնել կոնսոլին, երբ հենց թունելն է կոտրվել։ Պատասխանեք այս երեք հարցերին յուրաքանչյուր թեկնածուի համար, և ընտրությունը սովորաբար ինքն է կատարվում։ Ստորև ներկայացված ընթացակարգը համեմատությունը վերածում է կարճ ցանկի այն բաների, որոնք կարող եք ստուգել պարտավորվելուց առաջ։

Սկսեք նրանից, ինչը պետք է մնա աշխատունակ, երբ թունելը ձախողվում է

Այն ձախողումը, որի համար պետք է նախագծել, այն է, երբ VPN գործընթացը մահանում է, և դուք միևնույն է պետք է հասնեք հոսթին։ Երթուղիչի վրա թունելը և ինտերնետ դարպասը կիսում են նույն ճակատագիրը՝ մեկ վատ կոնֆիգուրացիայի փոփոխություն կարող է իջեցնել երկուսինն էլ, և վերականգնման ուղին հաճախ ֆիզիկական վերակայումն է։ Առանձին համակարգչի վրա դարպասը շարունակում է աշխատել, և հոսթը դեռ հասանելի է LAN-ի միջոցով։ Այս արդյունքներից որը կարող եք հանդուրժել, որոշում է ավելին, քան ցանկացած հատկանիշների ցանկ։

Գրեք պատասխանը որպես նախադասություն՝ եթե VPN հոսթը վերագործարկվի, ինչ է կորցնում տունը կամ գրասենյակը? Եթե պատասխանը ներառում է ինտերնետի ամբողջ հասանելիությունը, դուք ընդունել եք ձախողման ընդհանուր տիրույթ և պետք է դա ասեք դիտավորյալ, այլ ոչ թե ավելի ուշ հայտնաբերեք։

Նույն սարքի վրա երկրորդ ծառայությունը պահեստային կոնսոլ չէ։ Այն կիսում է էլեկտրասնուցումը, որոնվածը և ադմինիստրատորի հաշիվը։

Հաշվեք սպասարկման մակերևույթները, որոնք ավելացնում է յուրաքանչյուր հոսթ

Երթուղիչը բերում է արտադրողի որոնվածն իր թողարկումների ռիթմով, և VPN գործառույթը սովորաբար մեկ մոդուլ է շատ ավելի մեծ պատկերի ներսում։ Համակարգիչը բերում է օպերացիոն համակարգ, փաթեթների կառավարիչ, միջուկ և ծառայությունների հավաքածու, որոնք այժմ ձերն են։ Երկուսն էլ կարկատանքների կարիք ունեն, և իրական հարցն այն է, թե որ ռիթմը կպահպանեք, երբ նորույթը մարի։

Linux հոսթի վրա դարձրեք այդ ռիթմը տեսանելի՝ դրա վրա հույս դնելու փոխարեն։ systemctl list-timers ցույց է տալիս պլանավորված աշխատանքները, իսկ apt list --upgradable ցույց է տալիս, թե ինչ է սպասում։ Գրեք, թե որ թարմացումներն են վերագործարկում պահանջում, քանի որ վերագործարկվող VPN հոսթը ընդհատում է, եթե դա չեք պլանավորել։ Առանց ավտոմատ թարմացման ուղու երթուղիչին փոխարենը օրացույցի գրառում է պետք, ինչը ավելի թույլ վերահսկողություն է, բայց ազնիվ։

Հաշվեք նաև հաշիվները։ VPN հոսթի վրա յուրաքանչյուր լրացուցիչ ադմինիստրատորի մուտք ևս մեկ պիտանիություն է պտտելու և ևս մեկ ուղի՝ չեղարկելու համար։

Հետևեք մասնավոր ցանցի ուղուն, ոչ թե տուփի պիտակին

Հաճախորդներին չի հետաքրքրում, թե որտեղ է աշխատում սերվերը՝ նրանց հետաքրքրում է՝ պաշտպանված նախածանցները հասանելի են, և արդյոք կա վերադարձի ուղի։ Տեղադրեք սերվերը այնտեղ, որտեղ երթուղավորումն ամենապարզն է, ինչը սովորաբար նշանակում է ուղիղ այն սեգմենտի վրա, որը պահում է ռեսուրսները։ Երթուղիչի հետևում գտնվող համակարգիչը դեռ պորտի վերահասցեավորում է պահանջում, և այդ LAN-ի ռեսուրսները դեռ պահանջում են երթուղի դեպի թունելի ենթացանց։

Ստուգեք վերահասցեավորումը հոսթի վրա նախքան հաճախորդին մեղադրելը։ sysctl net.ipv4.ip_forward-ը պետք է հաղորդի 1, իսկ nft list ruleset կամ iptables -S ցույց է տալիս, թե արդյոք թունելի ինտերֆեյսին ընդհանրապես թույլատրվում է վերահասցեավորել։ Բացակայող masquerade կանոնը հաճախորդի կողմից երևում է ուղիղ որպես կոտրված թունել։

Որոշեք նաև, թե ինչին թունելը չպետք է հասնի։ Երթուղիչի վրա տեղադրված սերվերը տեսնում է յուրաքանչյուր ենթացանց, որն այդ երթուղիչը երթուղավորում է, և դա հաճախ ավելին է, քան նախատեսում է մուտքի քաղաքականությունը։ Առանձին հոսթի վրա նույն մեկուսացումը մեկ հրապատի կանոնի հեռավորության վրա է, և վտանգված հաճախորդի վնասի շառավիղն ավելի փոքր է։ RFC 7296-ում IPsec դարպասի նկարագրությունը դա համարում է երթուղավորման և քաղաքականության հարց, ոչ թե սարքաշարի, և ձևերից ոչ մեկը լռելյայն ավելի անվտանգ չէ, քանի դեռ քաղաքականությունը գրված չէ։

Պահեք վերականգնման կոնսոլ, որը կախված չէ թունելից

Այն կոնսոլը, որով վերանորոգում եք VPN-ը, չի կարող հենց VPN-ը լինել։ Պահեք LAN հասցե, սերիական կոնսոլ կամ մատակարարի կոնսոլ, որն աշխատում է, երբ թունելը կանգնած է, և օգտագործեք այն գոնե մեկ անգամ նախքան այն ձեզ պետք կգա։ Երբեք չփորձված արտագոտի ուղին ծրագիր է, ոչ թե կարողություն։

Պահուստավորեք կոնֆիգուրացիան մի տեղ, որտեղից հոսթն ինքը չի կարող ջնջել այն։ tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn-ը գրավում է բանալիները և ծառայությունների սահմանումները, և պատճենը պետք է թողնի մեքենան։ Ներառեք հրապատի կանոնները և հաճախորդների ցանկը, քանի որ բանալիները զուգընկերների ցանկի առանց վերականգնելը ստեղծում է սերվեր, որին ոչ ոք չի կարող միանալ։ Պահեք արխիվը այնտեղ, որտեղ վերականգնման կոնսոլը կարող է հասնել դրան։

Գրեք հետադարձ քայլը նույն նոտայի մեջ։ Առանց փաստաթղթավորված հակադարձման կոնֆիգուրացիայի փոփոխությունը մշտական փոփոխություն է, ինչ էլ որ լիներ մտադրությունը։

Հաստատեք ընտրությունը վերագործարկումով և թարմացումով

Փորձարկեք դասավորությունը այնպես, ինչպես այն կձախողվի, ոչ այնպես, ինչպես այն աշխատում է լավ օրը։ Վերագործարկեք հոսթը, կիրառեք սպասող թարմացում և հաստատեք, որ թունելը վերադառնում է առանց ձեռքով քայլերի։

Վերագործարկումից հետո ստուգեք երեք բաները, որոնք ամենահաճախ են կոտրվում։ systemctl is-active wg-quick@wg0-ը հաղորդում է, թե արդյոք ինտերֆեյսը վերադարձել է, ss -lunp-ը ցույց է տալիս, թե արդյոք ինչ-որ բան լսում է պորտին, և wg show-ը թվարկում է ավարտված ձեռքսեղմում ունեցող զուգընկերոջ։ Ակտիվ, բայց առանց ձեռքսեղմման ծառայությունը նշանակում է, որ հրապատը կամ երթուղին սխալ է, ոչ թե դեմոնը։

Կրկնեք ստուգումը հաճախորդից մեկ այլ ցանցում, քան այն, որտեղից կարգավորել եք։ Եթե թունելը դիմանում է վերագործարկմանը, թարմացմանը և հաճախորդի ցանցի փոփոխությանը, հոսթի ընտրությունը առայժմ լուծված է։ Եթե ոչ, բացակայող մասը սովորաբար փաստաթղթավորված քայլ է, ոչ թե մեկ այլ տուփ։