Wat brauchst du, ier s du dengen eegene VPN-Server host?

D'Serversoftware ze installéieren ass den kuersten Deel vun engem selbstgehostete VPN, an et ass dee Schrëtt, mat deem d'Leit ufänken. Ob den Asaz funktionéiert, hänkt dovun of, ob en Client den Endpunkt erreecht, wat dee Client duerno erreeche kann, an wéi s du erëm erakënns, wann den Tunnel dat ass, wat futti gaang ass. Kloer all dräi, ier de Paketmanager leeft.

Zwee dovun si Designentscheedungen an den drëtten ass eng operationell Gewunnecht. All dräi si bëlleg op Pabeier ze flécken wéi während enger Stéierung.

Entscheed, wat d'Cliente solle kënnen erreechen

E Fernzougrëffsserver brauch eng Route an dat privaten Netzwierk, dat hien annoncéiert, an e Réckwee fir d'Äntwerten, wat hien zu engem Router fir dat Netzwierk mécht an net just zu engem Lauschterer. En Internet-Ausgangsserver brauch Weiderleitung plus eng Adresséierungs- oder Iwwersetzungsarrangement, an e fäerdeg Handshake liwwert keng vun deenen zwee. Wiel d'Aufgab virun der Topologie, well déi zwou Entwërf sech beim Routing, bei de Firewallregele an doran ënnerscheeden, wat de Client duerch den Tunnel schéckt. En Server, deen zwou Aufgaben erfëlle soll, brauch béid Reelesätz an eng passend Opdeelung vun der Standardroute vum Client.

Wiel Tunnel- a LAN-Beräicher, déi net mat Netzwierker kollidéiere kënnen, déi deng Cliente schonn notzen, well e Laptop, deen 192.168.1.0/24 schonn huet, déi Route weider benotzt, amplaz vun engem Tunnel, deen déiselwecht Präfix ausgëtt. Kontrolléier IPv4 an IPv6 getrennt, well vill Leit maachen dat éischt richteg an astellen dat zweet ni. Wou de Server hannert engem anere Router sëtzt, bestäteg d'Erreechbarkeet vun dobaussen, amplaz engem eenzegen Portforwarding ze vertrauen, dee jiddwereen Schicht beschreiwe soll.

Identitéiten, Schlësselen an e Wee zréck eran

Gëff pro Apparat eng eege Identitéit aus, wou d'Software dat ënnerstëtzt, sou datt e verluerene Laptop bedeit, ee Peer ze zréckzezéien, amplaz de Server nei opzebauen. Privat Schlësselen gehéieren an geschützten Späicher an ni an e Profil, deen an eng Chatmessage agefougt gëtt. De Wiederhierstellungswee ass deen Deel, deen d'Leit iwwersprangen: Konsolzougrëff, eng seriell Konsole oder eng Out-of-Band-Management-Schnittstell, déi net vum Tunnel ofhänkt. Ouni eng verwandelt eng schlecht Firewallregeleeung eng kleng Ännerung an en Asaz virun Ort.

Schreif d'Entfernungsprozedur zur gläicher Zäit wéi d'Opnamprozedur. En Apparat zréckzezéien ass eng Operatioun, déi s du iergendwann brauchs, an et ass méi einfach zu beschreiwen, wärend d'Opstellung nach frësch ass.

Endpunkt doheem oder geléint?

Dräi Bedéngungen entscheeden tëscht Hosting doheem an der Locatioun vun enger klenger Instanz. Déi éischt ass ob erakommend Verbindungen iwwerhaapt Äert Netzwierk erreeche kënnen, well en carrier-grade iwwersaten Uplink oder en restriktiivt Gebaiernetzwierk d'Optioun ewechhëlt. Déi zweet ass, ob den Ausgang misst op enger anerer Plaz wéi Ärer eegener Stad erschéngen, well just en geléinten Endpunkt dat ännert. Déi drëtt ass Loscht op eng zweet Vertrauensbezéiung, well en Hostingprovider Deel vum Modell gëtt a kann den Endpunkt observéieren, och wann hien den Trafic net liese kann.

Wann déi éischt Bedéngung erfëllt ass an déi zweet keng Roll spillt, ass Hosting doheem dee méi kuerzen Wee. En geléinten Endpunkt kaaft Standuert a Disponibilitéit amplaz Privatsphär aus sech selwer.

Beweis et mat engem Client an engem Neistart

Start ee Client, bestäteg d'Ressource, déi hien erreeche soll, a bestäteg, datt hien ophält, dat z'erreechen, wat hien net soll. D'Befehler hei drënner weisen de Peer-Status, d'Routen, déi de Server installéiert huet, an ob d'Weiderleitung aktiv ass. Laf se, ier s du een aneren ophëls.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

E Peer mat engem rezente Handshake ass verbonnen, wärend e Peer ouni Handshake ni verhandelt huet, an dat si verschidde Feeler. Ausgeschalt Weiderleitung erkläert en Tunnel, deen eropkënnt an näischt dréit, also kontrolléier de Server, ier s du dem Client d'Schold gëss. En feelende Lauschterer heescht, datt den Déngscht net mat där Konfiguratioun gestart ass, déi s du mengs. Start de Server dann bewosst nei a widderhuel de ganze Saz, well en Tunnel, deen just bis zum Neistart funktionéiert, e gewéinlech Resultat vum Teste vum gléckleche Wee ass.

Schreif den Endpunkt, d'Peeren, d'Beräicher an d'Wiederhierstellungsmethod op eng Säit. Déi Säit ass de Runbook, deen s du am ongënschtegste Moment liese wäerts.