Wat e VPS muss erlaben, ier en Äre VPN ka hosten

D'Instanz boott, Pakinstallatioune geléngen, an den Déngscht mëldet souguer e lafende Zustand, mä näischt verbënnt sech. Dëst Muster ass üblech op virtuelle private Serveren, well e Gaascht, dee bequem an den Internet kënnt, nach ëmmer net fäheg ka sinn, den Interface ze schafen, deen Äre Protokoll wëll. Fënnef Kontrollen trennen en Host, deen en Tunnel ka bedéngen, vun engem, deen nëmmen prett ausgesäit, an déi éischt fehlgeschlo Kontroll erkläert meeschtens alles duerno. Jiddereng ass bëlleg ze lafen an endet an enger Entscheedung an net an enger Notiz.

Bestätegt den Interface, deen de Protokoll brauch

OpenVPN iwwer TUN brauch den Zeechenapparat an de Kernelmodul hannendrun; WireGuard brauch seng eege Kernelënnerstëtzung oder eng Userspace-Implementatioun mat passenden Erwaardungen. Gestiirt Containere kënnen en Hostkernel deelen, deen den Apparat ni aussetzt, a verschidde Plattforme verbidden d'Kreatioun vun Tunnelinterfacen komplett, egal wat installéiert ass.

Test d'Fähegkeet amplaz eng Support-Säit ze liesen, well Marketinglabelen sech méi séier änneren wéi déi ënnescht Limiten. Eng Funktiounslëscht, déi fir ee Plang geschriwwe gëtt, beschreift vläicht net de Kernel, op deem de Gaascht tatsächlech leeft. Zwee kuerz Kommandoe beäntweren d'Fro fir déi allgemeng benotzt Protokollen, an déi zwee raumen hannendrun op. D'Kommandoe ënnendrënner schafen näischt Permanentes a gi gläich ewech geholl.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Eng Oflehnung beim éischte Paar heescht, den TUN ass net verfügbar an de Standardmodus vum OpenVPN kann net starten; eng Oflehnung an der leschter Zeil heescht, den WireGuard-Kernelinterface feelt. Den Kernel TUN/TAP-Dokumentatioun beschreift den Apparat, deen déi éischt Kontroll übt. Keen vun den zwee Feeler gëtt duerch eng Neiinstallatioun vum VPN-Paket behuewen.

Denkt drun: den agehende Wee huet zwee Besëtzer

Netzwierkregelen vum Ubieder an d'Firewall vum Gaascht sinn getrennt Systemer, an den Trafik muss duerch béid kommen. En Listener, deen um Gaascht gebonnen ass, bedeit näischt, wann d'Sécherheetsgrupp vum Ubieder de Port fale léisst, an eng oppe Ubiedersregel mécht näischt, wann de Gaascht de Paket ofleent. Préift den Listener, dann d'Gaaschtregelen, dann de Panel vum Ubieder, an där Reihenfolg, a bestätegt souwuel de Protokoll wéi och d'Portnummer. Riicht op de Panel vum Ubieder ze sprangen ass de Wee, wéi d'Leit e Beräich opmaachen, deen se net gebraucht hunn.

UDP ass dat üblecht Affer: vill Plattforme erlaben TCP standardméisseg an behandelen UDP-Regelen als en eenzelen Entrée. Wann d'Instanz hannert dem NAT vum Ubieder sëtzt, amplaz eng ëffentlech Adress ze halen, gëtt Portweidergab op der Ubiederssäit eng drëtt Konfiguratioun, déi musse versüünt ginn.

Plangt de Wee zréck, net nëmmen d'Ausgang

En Déngscht mat vollem Tunnel brauch aktivéiert Weidergab, e Schema fir Iwwersetzung oder Routing vum Clienttraffic an e Wee zréck, dee bis bei de Clientpool kënnt. En Listener opzemaachen gëtt näischt dovun. En Tunnel, dee sech opbaut, awer keen nëtzlechen Trafik dréit, versoe meeschtens hei an net bei der Authentifikatioun. Betruecht en erfollegräichen Handshake als Ufank vun der Diagnos, net als hiren Enn.

Schreift de Plang als dräi konkreet Entscheedungen: wéi eng Quellberäich d'Cliente kréien, wéi hire Traffic an den Internet erausgeet a wéi Äntwerten de Wee zréck fannen. Dann bestätegt, datt de Kernel mam Plang d'accord ass, ier Dir en Client testt, sou datt eng stille Onstëmmegkeet net als Clientfeeler ugesi gëtt.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Entscheet d'IPv6-Fro ausdrécklech

IPv6 kënnt iwwer verschidde Mechanissmen, déi sech fir en Gateway anescht behuelen: eng Adress op der Instanz, e geroutete Prefix oder guer näischt. Nëmmen e geroutete Prefix erlaabt dem Server, de Clienten Adressen op déi gewinnt Manéier ze ginn. D'Uname, eng funktionéierend IPv6-Adress um Host bedeit e brauchbare Clientprefix, ass e Feeler, deen sech méi spéit als hallef gebrache Verbindung weist. Et ass déi Zort Feeler, déi all Test iwwersteet, deen nëmme mat IPv4 gemaach gëtt.

Wann den Ubieder kee Prefix routet, entscheet, ob den Tunnel nëmmen IPv4 ass an ob d'Cliente sollen dat wëssen. Eng dokumentéiert Absenz ass méi sécher wéi eng deelweis Konfiguratioun, déi IPv6-Ziler fir verbonnen Notzer stëll an e schwaarzt Lach schéckt.

Beweist et vun engem externen Client

Den lokalen Déngschtstatus beschreift ee Prozess op engem Host. Den nëtzlechen Test ass en autoriséierte Client an engem aneren Netzwierk, dee sech mam Profil verbënnt, deen Dir wëllt verdeelen, dann eng Applikatioun erreecht an en Numm opléist. Verbënnt Iech och eng Kéier nei, well en Tunnel, dee just beim éischten Versuch funktionéiert, d'Ufuerderung net erfëllt, déi an der Praxis am meeschte zielt.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Haalt d'operationell Basis nieft dem Test: Plaz fir Aktualiséierungen, begrenzt Logs, administrativen Zougang, deen net vum Tunnel ofhänkt, eng Erhuelungskonsole an eng Notiz dozou, wat mat Clientprofilen geschitt, wann d'Instanz nei opgebaut gëtt an hir ëffentlech Adress sech ännert. Wann en néidegen Interface oder Weidergabsmodell einfach net verfügbar ass, gëtt keng Ännerung op Client Säit et, an den éierlechen nächsten Schrëtt ass en aneren Instanztyp an net méi Konfiguratioun.