Ko reikia prieš susidedant savo VPN serverį?

Serverio programinės įrangos įdiegimas yra trumpiausia savarankiškai prieglobstomos VPN dalis, ir tai žingsnis, nuo kurio žmonės pradeda. Ar diegimas veiks, priklauso nuo to, ar klientas pasieks galinį tašką, ką tas klientas gali pasiekti po to ir kaip grįši į vidų, kai tunelis yra būtent tai, kas sugedo. Išspręsk visus tris dalykus, kol paketų tvarkyklė dar neįsijungė.

Du iš jų yra projektiniai sprendimai, o trečiasis – veiklos įprotis. Visus tris pigiau sutaisyti popieriuje nei per sutrikimą.

Nuspręsk, ką klientai turi pasiekti

Nuotolinės prieigos serveriui reikia maršruto į privatų tinklą, kurį jis skelbia, ir grįžimo kelio atsakymams, todėl jis tampa to tinklo maršrutizatoriumi, o ne vien klausytoju. Interneto išėjimo serveriui reikia persiuntimo ir adresavimo arba vertimo schemos, o baigtas rankos paspaudimas neduoda nei vieno, nei kito. Pasirink užduotį prieš topologiją, nes abu projektai skiriasi maršrutizavimu, ugniasienės taisyklėmis ir tuo, ką klientas siunčia tuneliu. Serveriui, kurio prašoma abiejų, reikia abiejų taisyklių rinkinių ir atitinkamo kliento numatytojo maršruto padalijimo.

Pasirink tunelio ir LAN diapazonus, kurie negali susidurti su tinklais, kuriuos tavo klientai jau naudoja, nes nešiojamasis kompiuteris, jau turintis 192.168.1.0/24, toliau naudos tą maršrutą, o ne tunelį, kuris dalija tą patį prefiksą. Tikrink IPv4 ir IPv6 atskirai, nes daugelis pirmąjį padaro teisingai ir niekada nepastebi antrojo. Ten, kur serveris stovi už kito maršrutizatoriaus, patvirtink pasiekiamumą iš išorės, o ne pasitikėk vienu prievado persiuntimu, kuris apibūdintų kiekvieną sluoksnį.

Tapatybės, raktai ir kelias atgal

Išduok atskirą tapatybę kiekvienam įrenginiui ten, kur programinė įranga tai palaiko, kad pamestas nešiojamasis kompiuteris reikštų vieno partnerio atšaukimą, o ne serverio perstatymą. Privatūs raktai priklauso apsaugotai saugyklai ir niekada profiliui, įklijuotam į pokalbio žinutę. Atkūrimo kelias yra ta dalis, kurią žmonės praleidžia: prieiga prie konsolės, nuoseklioji konsolė arba už juostos ribų esanti valdymo sąsaja, kuri nepriklauso nuo tunelio. Be jos bloga ugniasienės taisyklė mažą pakeitimą paverčia apsilankymu vietoje.

Parašyk pašalinimo procedūrą kartu su įtraukimo procedūra. Įrenginio atšaukimas yra operacija, kurios tau kada nors prireiks, ir ją lengviau aprašyti, kol sąranka dar šviežia.

Galinis taškas namuose ar nuomojamas?

Trys sąlygos nusprendžia, ar prieglobstyti namuose, ar nuomoti mažą egzempliorių. Pirmoji – ar įeinančios jungtys apskritai pasiekia tavo tinklą, nes operatoriaus lygmeniu išverstas uplink arba ribojantis pastato tinklas pašalina šią galimybę. Antroji – ar išėjimas turi atsirasti ne tavo mieste, nes tai keičia tik nuomojamas galinis taškas. Trečioji – apetitas antram pasitikėjimo santykiui, nes prieglobos teikėjas įeina į modelį ir gali stebėti galinį tašką net tada, kai negali perskaityti srauto.

Jei pirmoji sąlyga tenkinama, o antroji nesvarbi, priegloba namuose yra trumpesnis kelias. Nuomojamas galinis taškas nusiperka vietą ir prieinamumą, o ne privatumą pačiu savimi.

Įrodyk tai vienu klientu ir perkrovimu

Pakelk vieną klientą, patvirtink išteklių, kurį jis turi pasiekti, ir patvirtink, kad jis nustoja pasiekti tai, ko neturėtų. Toliau pateiktos komandos rodo partnerio būseną, serverio įdiegtus maršrutus ir ar persiuntimas įjungtas. Paleisk jas prieš įtraukdamas ką nors kitą.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Partneris su nesenu rankos paspaudimu yra prisijungęs, o partneris be rankos paspaudimo niekada nesiderėjo, ir tai skirtingi gedimai. Išjungtas persiuntimas paaiškina tunelį, kuris pakyla ir nieko neperduoda, todėl patikrink serverį, prieš kaltindamas klientą. Trūkstamas klausytojas reiškia, kad paslauga nepasileido su konfigūracija, kurią manai turinti. Tada sąmoningai perkrauk serverį ir pakartok visą rinkinį, nes tunelis, veikiantis tik iki perkrovimo, yra dažnas laimingosios kelio testavimo rezultatas.

Užrašyk galinį tašką, partnerius, diapazonus ir atkūrimo metodą viename puslapyje. Tas puslapis yra vadovas, kurį skaitysi mažiausiai patogiu momentu.