Apa yang kamu butuhkan sebelum menghosting server VPN sendiri?

Memasang perangkat lunak server adalah bagian terpendek dari VPN yang dihosting sendiri, dan justru langkah itulah yang orang mulai. Berhasil atau tidaknya penerapan bergantung pada apakah klien bisa mencapai endpoint, apa yang boleh dicapai klien itu setelahnya, dan bagaimana kamu masuk kembali ketika tunnel justru yang rusak. Selesaikan ketiganya sebelum manajer paket berjalan.

Dua di antaranya keputusan desain dan yang ketiga kebiasaan operasional. Ketiganya lebih murah diperbaiki di atas kertas daripada saat gangguan.

Tentukan apa yang harus dicapai klien

Server akses jarak jauh memerlukan rute ke jaringan privat yang diumumkannya dan jalur balik untuk jawabannya, sehingga menjadikannya router untuk jaringan itu, bukan sekadar pendengar. Server pintu keluar internet memerlukan penerusan plus pengaturan pengalamatan atau penerjemahan, dan handshake yang selesai tidak menyediakan keduanya. Pilih tugasnya sebelum topologi, karena kedua desain berbeda dalam perutean, aturan firewall, dan apa yang dikirim klien melalui tunnel. Server yang diminta melakukan keduanya memerlukan kedua set aturan dan pembagian rute default klien yang sesuai.

Pilih rentang tunnel dan LAN yang tidak mungkin bertabrakan dengan jaringan yang sudah dipakai klienmu, karena laptop yang sudah memegang 192.168.1.0/24 akan terus memakai rute itu alih-alih tunnel yang membagikan prefiks yang sama. Periksa IPv4 dan IPv6 secara terpisah, karena banyak orang benar pada yang pertama dan tidak pernah menyadari yang kedua. Di tempat server berada di belakang router lain, pastikan keterjangkauan dari luar alih-alih memercayai satu penerusan port untuk menggambarkan setiap lapisan.

Identitas, kunci, dan jalan masuk kembali

Terbitkan identitas terpisah per perangkat di tempat perangkat lunak mendukungnya, sehingga laptop yang hilang berarti mencabut satu peer alih-alih membangun ulang server. Kunci privat berada di penyimpanan terlindungi dan tidak pernah di profil yang ditempel ke pesan obrolan. Jalur pemulihan adalah bagian yang orang lewati: akses konsol, konsol serial, atau antarmuka manajemen out-of-band yang tidak bergantung pada tunnel. Tanpanya, aturan firewall yang buruk mengubah perubahan kecil menjadi kunjungan ke lokasi.

Tulis prosedur pencabutan bersamaan dengan prosedur pendaftaran. Mencabut perangkat adalah operasi yang cepat atau lambat kamu perlukan, dan lebih mudah dijelaskan selama penyiapan masih segar.

Endpoint di rumah atau sewaan?

Tiga syarat menentukan antara hosting di rumah dan menyewa instans kecil. Yang pertama adalah apakah koneksi masuk bisa mencapai jaringanmu sama sekali, karena uplink yang diterjemahkan di tingkat operator atau jaringan gedung yang restriktif menghapus pilihan itu. Yang kedua adalah apakah pintu keluar harus muncul di tempat lain selain kotamu, karena hanya endpoint sewaan yang mengubahnya. Yang ketiga adalah selera pada hubungan kepercayaan kedua, karena penyedia hosting masuk ke model dan dapat mengamati endpoint bahkan ketika tidak bisa membaca lalu lintas.

Jika syarat pertama terpenuhi dan yang kedua tidak relevan, hosting di rumah adalah jalur yang lebih pendek. Endpoint sewaan membeli lokasi dan ketersediaan, bukan privasi dengan sendirinya.

Buktikan dengan satu klien dan satu restart

Nyalakan satu klien, pastikan sumber daya yang harus dicapainya, dan pastikan ia berhenti mencapai yang tidak seharusnya. Perintah di bawah menunjukkan status peer, rute yang dipasang server, dan apakah penerusan aktif. Jalankan sebelum mendaftarkan orang lain.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Peer dengan handshake terbaru terhubung, sedangkan peer tanpa handshake tidak pernah bernegosiasi, dan itu kegagalan yang berbeda. Penerusan yang dimatikan menjelaskan tunnel yang naik dan tidak membawa apa pun, jadi periksa server sebelum menyalahkan klien. Pendengar yang hilang berarti layanan tidak mulai dengan konfigurasi yang kamu kira. Lalu restart server dengan sengaja dan ulangi seluruh rangkaian, karena tunnel yang hanya bekerja sampai restart adalah hasil umum dari menguji jalur bahagia.

Catat endpoint, peer, rentang, dan metode pemulihan di satu halaman. Halaman itu adalah runbook yang akan kamu baca pada saat paling tidak nyaman.