Maršrutizatorius ar atskiras kompiuteris kaip jūsų VPN serveris: kaip pasirinkti

Ir maršrutizatorius, ir mažas kompiuteris gali užbaigti VPN, o sprendimas retai priklauso nuo pralaidumo. Jis priklauso nuo to, kas taiko naujinimą antrą valandą nakties, kas dar sustoja, kai ta dėžė persikrauna, ir ar dar pasieksite konsolę, kai sugedo būtent tunelis. Atsakykite į šiuos tris klausimus kiekvienam kandidatui, ir pasirinkimas dažniausiai padaromas savaimė. Toliau pateikta procedūra paverčia palyginimą trumpu sąrašu dalykų, kuriuos galite patikrinti prieš įsipareigodami.

Pradėkite nuo to, kas turi likti veikti, kai tunelis sugenda

Gedimas, kuriam reikia projektuoti, yra tas, kai VPN procesas miršta, o jūs vis tiek turite pasiekti hostą. Maršrutizatoriuje tunelis ir interneto šliuzas dalijasi likimu: vienas blogas konfigūracijos pakeitimas gali numesti abu, o atkūrimo kelias dažnai yra fizinis atstatymas. Atskirame kompiuteryje šliuzas toliau veikia, o hostas vis dar pasiekiamas per LAN. Kurį iš šių rezultatų galite pakelti, lemia daugiau nei bet koks funkcijų sąrašas.

Atsakymą parašykite vienu sakiniu: jei VPN hostas persikrauna, ko netenka namai ar biuras? Jei atsakyme yra visa prieiga prie interneto, jūs priėmėte bendrą gedimų sritį ir turėtumėte tai pasakyti sąmoningai, o ne atrasti vėliau.

Antroji paslauga tame pačiame įrenginyje nėra atsarginė konsolė. Ji dalijasi maitinimo šaltiniu, programine įranga ir administratoriaus paskyra.

Suskaičiuokite priežiūros paviršius, kuriuos prideda kiekvienas hostas

Maršrutizatorius atneša gamintojo programinę įrangą su savo leidimų ritmu, o VPN funkcija paprastai yra vienas modulis daug didesniame atvaizde. Kompiuteris atneša operacinę sistemą, paketų tvarkyklę, branduolį ir paslaugų rinkinį, kuris dabar priklauso jums. Abiems reikia pataisų, o tikrasis klausimas yra, kokį ritmą išlaikysite, kai naujovė išblės.

Linux hoste padarykite tą ritmą matomą, o ne viltisį jį. systemctl list-timers rodo suplanuotus darbus, o apt list --upgradable rodo, kas laukia. Užsirašykite, kuriems naujinimams reikia perkrovimo, nes persikraunantis VPN hostas yra pertrauka, nebent ją suplanavote. Maršrutizatoriui be automatinio naujinimo kelio reikia vietoj to kalendoriaus įrašo, tai silpnesnė kontrolė, bet sąžininga.

Suskaičiuokite ir paskyras. Kiekvienas papildomas administratoriaus prisijungimas VPN hoste yra dar vienas akredityvas, kurį reikia keisti, ir dar vienas kelias, kurį reikia panaikinti.

Sekite privataus tinklo kelią, o ne etiketę ant dėžės

Klientams nesvarbu, kur serveris veikia; jiems svarbu, ar pasiekiami apsaugoti prefiksai ir ar yra grįžimo kelias. Įdėkite serverį ten, kur maršrutizavimas paprasčiausias, o tai paprastai reiškia tiesiai segmente, kuriame yra ištekliai. Kompiuteriui už maršrutizatoriaus vis tiek reikia prievado persiuntimo, o to LAN ištekliams vis tiek reikia maršruto atgal į tunelio potinklį.

Patikrinkite persiuntimą hoste, prieš kaltindami klientą. sysctl net.ipv4.ip_forward turėtų pranešti 1, o nft list ruleset arba iptables -S parodo, ar tunelio sąsajai apskritai leidžiama persiųsti. Trūkstama masquerade taisyklė iš kliento pusės atrodo lygiai kaip sulaužytas tunelis.

Nuspręskite ir, ko tunelis neturi pasiekti. Maršrutizatoriuje įdėtas serveris mato kiekvieną potinklį, kurį tas maršrutizatorius maršrutizuoja, ir tai dažnai daugiau, nei ketina prieigos politika. Atskirame hoste ta pati izoliacija yra per vieną ugniasienės taisyklę, o pažeisto kliento žalos spindulys mažesnis. RFC 7296 IPsec šliuzo aprašymas tai laiko maršrutizavimo ir politikos klausimu, o ne aparatinės įrangos, ir nė viena forma nėra saugesnė pagal nutylėjimą, kol politika nėra užrašyta.

Turėkite atkūrimo konsolę, kuri nepriklauso nuo tunelio

Konsolė, kuria taisote VPN, negali būti pats VPN. Turėkite LAN adresą, nuosekliąją konsolę arba teikėjo konsolę, kuri veikia, kol tunelis yra žemyn, ir naudokite ją bent kartą prieš jums prireikiant. Niekada nebandytas išorinis kelias yra planas, o ne gebėjimas.

Atsarginę konfigūracijos kopiją darykite ten, kur pats hostas negali jos ištrinti. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn fiksuoja raktus ir paslaugų apibrėžimus, o kopija turi palikti mašiną. Įtraukite ugniasienės taisykles ir klientų sąrašą, nes raktų atkūrimas be partnerių sąrašo sukuria serverį, prie kurio niekas negali prisijungti. Saugokite archyvą ten, kur atkūrimo konsolė jį pasieks.

Atšaukimo žingsnį įrašykite toje pačioje pastaboje. Konfigūracijos pakeitimas be dokumentuoto grąžinimo yra nuolatinis pakeitimas, kokia bebūtų intencija.

Patikrinkite pasirinkimą perkrovimu ir naujinimu

Išbandykite sprendimą taip, kaip jis suges, o ne taip, kaip veikia gerą dieną. Perkraukite hostą, įdiekite laukiantį naujinimą ir patvirtinkite, kad tunelis grįžta be rankinių veiksmų.

Po perkrovimo patikrinkite tris dalykus, kurie sugenda dažniausiai. systemctl is-active wg-quick@wg0 praneša, ar sąsaja grįžo, ss -lunp parodo, ar kas nors klausosi prievado, o wg show išvardija partnerį su baigtu rankos paspaudimu. Aktyvi paslauga be rankos paspaudimo reiškia, kad kaltas ugniasienė arba maršrutas, o ne demonas.

Pakartokite patikrinimą iš kliento kitame tinkle nei tas, iš kurio konfigūravote. Jei tunelis išgyvena perkrovimą, naujinimą ir kliento tinklo pakeitimą, hosto pasirinkimas kol kas nuspręstas. Jei ne, trūkstama dalis paprastai yra dokumentuotas žingsnis, o ne kita dėžė.