Hvað VPS verður að leyfa áður en hann getur hýst VPN-ið þitt

VM sem vafrar á vefnum getur samt mistekist sem VPN-gátt. Staðfestu stuðning við tengi, tvo eldveggi, framsendingu, netfangaskipulag og utanaðkomandi biðlara.

Tilvikið ræsist, uppsetningar pakka heppnast og þjónustan tilkynnir jafnvel keyrandi stöðu, en ekkert tengist. Þetta mynstur er algengt á sýndareinkaserverum, því gestur sem nær internetinu á auðveldan hátt getur samt verið ófær um að búa til tengið sem samskiptareglan þín krefst. Fimm prófanir aðskilja hýsil sem getur þjónað göngum frá þeim sem aðeins virðist tilbúinn, og fyrsta prófanin sem mistekst útskýrir venjulega allt sem á eftir kemur. Hver þeirra er ódýr í keyrslu og endar með ákvörðun frekar en athugasemd.

Staðfestu tengið sem samskiptareglan þarf

OpenVPN yfir TUN þarf stafatækið og kjarnaeininguna bak við það; WireGuard þarf sinn eigin kjarnastuðning eða útfærslu í notendarými með samsvarandi væntingum. Stýrðir gámar geta deilt hýsilkjarna sem aldrei afhjúpar tækið, og sumir vettvangar banna að búa til göngutengi algjörlega, óháð því hvað er uppsett.

Prófaðu getuna í stað þess að lesa stuðningssíðu, því markaðsmerkingar breytast hraðar en undirliggjandi takmarkanir. Eiginleikalisti skrifaður fyrir eitt plan lýsir kannski ekki kjarnanum sem gesturinn keyrir í raun á. Tvær stuttar skipanir svara spurningunni fyrir algengu samskiptareglurnar, og báðar hreinsa eftir sig. Skipanirnar hér að neðan búa til ekkert varanlegt og eru fjarlægðar strax.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Synjun á fyrsta parinu þýðir að TUN er ekki tiltækt og sjálfgefinn hamur OpenVPN getur ekki ræst; synjun á síðustu línunni þýðir að kjarnatengi WireGuard vantar. kjarnaskjöl um TUN/TAP lýsa tækinu sem fyrsta prófanin æfir. Hvorugt mistakanna er lagfært með því að setja VPN-pakkann upp aftur.

Mundu að inngönguleiðin á tvo eigendur

Netreglur þjónustuveitandans og eldveggur gestsins eru aðskilin kerfi, og umferðin verður að komast í gegnum bæði. Hlustandi sem er bundinn á gestinn þýðir ekkert ef öryggishópur veitandans hendir portinu, og opin regla veitandans gerir ekkert ef gesturinn hafnar pakkanum. Staðfestu hlustandann, svo reglur gestsins, svo spjald veitandans, í þeirri röð, og staðfestu bæði samskiptaregluna og númer portsins. Að stökkva fyrst á spjald veitandans er hvernig fólk opnar svið sem það þurfti ekki á að halda.

UDP er hið venjulega fórnarlamb: margir vettvangar leyfa TCP sjálfgefið og meðhöndla UDP-reglur sem sérstaka færslu. Ef tilvikið stendur bak við NAT veitandans í stað þess að hafa opinbert vistfang verður portframsending á veitandahlið þriðja stillingin sem þarf að samræma.

Skipuleggðu heimleiðina, ekki bara útganginn

Þjónusta með fullum göngum þarf virka framsendingu, umbreytingar- eða leiðakerfi fyrir umferð biðlara og heimleið sem nær biðlarasafninu. Að opna hlustanda veitir ekkert af þessu. Göng sem koma á fót en flytja enga nytsama umferð mistakast venjulega hér fremur en við auðkenningu. Líttu á árangursríka handaband sem upphaf greiningar, ekki endi hennar.

Skrifaðu áætlunina sem þrjár áþreifanlegar ákvarðanir: hvaða upptökusvið biðlarar fá, hvernig umferð þeirra fer út á internetið og hvernig svör finna heimleiðina. Staðfestu svo að kjarninn samþykki áætlunina áður en þú prófar biðlara, svo að hljóðlátt misræmi verði ekki túlkað sem bilun á biðlarahlið.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Ákveddu IPv6-málið skýrt

IPv6 kemur í gegnum nokkrar aðferðir sem hegða sér öðruvísi fyrir gátt: vistfang á tilvikinu, leiðbeint forskeyti eða ekkert. Aðeins leiðbeint forskeyti gerir netþjóninum kleift að gefa biðlurum vistföng á venjulegan hátt. Sú forsenda að virkt IPv6-vistfang á hýsilnum þýði nothæft biðlaraforskeyti er mistök sem koma síðar fram sem hálf brotin tenging. Þetta er sú tegund bilunar sem lifir af hverja prófun sem gerð er eingöngu með IPv4.

Ef veitandinn leiðir ekkert forskeyti, ákveddu hvort göngin séu aðeins IPv4 og hvort segja eigi biðlurunum það. Skjalfest fjarvist er öruggari en hluta-stilling sem hendir IPv6-áfangastöðum hljóðlaust í svarthol fyrir tengda notendur.

Sannaðu það frá utanaðkomandi biðlara

Staða þjónustu á staðnum lýsir einu ferli á einum hýsil. Gagnlega prófunin er heimilaður biðlari á öðru neti, sem tengist með sniðinu sem þú ætlar að dreifa, nær svo forriti og leysir nafn. Tengstu líka einu sinni aftur, því göng sem virka aðeins í fyrstu tilraun uppfylla ekki kröfuna sem skiptir mestu í reynd.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Haltu rekstrargrunni við hlið prófunarinnar: pláss fyrir uppfærslur, takmörkuð annál, stjórnunaraðgang sem er ekki háður göngunum, endurheimtartölvu og athugasemd um hvað verður um biðlarasnið þegar tilvikið er endurbyggt og opinbert vistfang þess breytist. Ef nauðsynlegt tengi eða framsendingarlíkan er einfaldlega ekki til, mun engin breyting á biðlarahlið veita það, og heiðarlegt næsta skref er önnur tegund tilviks frekar en meiri stilling.

Tengdir greinar