Ką VPS turi leisti, kad galėtų talpinti jūsų VPN

Instancija paleidžiama, paketų diegimas pavyksta, paslauga net praneša veikiančią būseną, bet niekas neprisijungia. Šis modelis dažnas virtualiuose privačiuose serveriuose, nes svečias, kuris patogiai pasiekia internetą, vis tiek gali nesugebėti sukurti sąsajos, kurios reikalauja jūsų protokolas. Penki patikrinimai atskiria serverį, galintį aptarnauti tunelį, nuo tokio, kuris tik atrodo paruoštas, ir pirmasis nepavykęs patikrinimas paprastai paaiškina viską po jo. Kiekvienas pigus paleisti ir baigiasi sprendimu, o ne pastaba.

Patvirtinkite sąsają, kurios reikia protokolui

OpenVPN per TUN reikia simbolių įrenginio ir už jo esančio branduolio modulio; WireGuard reikia savo branduolio palaikymo arba vartotojo erdvės įgyvendinimo su atitinkamais lūkesčiais. Valdomi konteineriai gali dalytis prieglobos branduoliu, kuris niekada neatskleidžia įrenginio, o kai kurios platformos visiškai draudžia kurti tunelio sąsajas, nepaisant to, kas įdiegta.

Tikrinkite galimybę, o ne skaitykite palaikymo puslapį, nes rinkodaros etiketės keičiasi greičiau nei pagrindinės ribos. Vienam planui parašytas funkcijų sąrašas gali neaprašyti branduolio, kuriame svečias iš tikrųjų veikia. Dvi trumpos komandos atsako į klausimą dėl įprastai naudojamų protokolų, ir abi susitvarko po savęs. Toliau pateiktos komandos nieko nuolatinio nesukuria ir nedelsiant pašalinamos.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Atsisakymas pirmoje poroje reiškia, kad TUN nepasiekiamas ir numatytasis OpenVPN režimas negali pradėti veikti; atsisakymas paskutinėje eilutėje reiškia, kad trūksta WireGuard branduolio sąsajos. Branduolio TUN/TAP dokumentacija aprašo įrenginį, kurį tikrina pirmasis patikrinimas. Nė vienos iš šių dviejų klaidų neištaiso VPN paketo perdiegimas.

Atminkite, kad įeinančiam keliui priklauso du savininkai

Tiekėjo tinklo taisyklės ir svečio ugniasienė yra atskiros sistemos, o srautas turi praeiti abi. Svečiame susietas klausytojas nieko nereiškia, jei tiekėjo saugos grupė atmeta prievadą, o atvira tiekėjo taisyklė nieko nedaro, jei svečias atmeta paketą. Patikrinkite klausytoją, tada svečio taisykles, tada tiekėjo skydelį, tokia tvarka, ir patvirtinkite ir protokolą, ir prievado numerį. Šokti tiesiai į tiekėjo skydelį yra būdas, kuriuo žmonės atveria diapazoną, kurio jiems nereikėjo.

UDP yra įprasta auka: daugelis platformų pagal numatytuosius nustatymus leidžia TCP, o UDP taisykles laiko atskiru įrašu. Jei instancija yra už tiekėjo NAT, o ne turi viešą adresą, prievadų persiuntimas tiekėjo pusėje tampa trečia suderinama konfigūracija.

Planuokite grįžimo kelią, ne tik išėjimą

Pilno tunelio paslaugai reikia įjungto persiuntimo, klientų srauto vertimo arba maršrutizavimo schemos ir grįžimo kelio, pasiekiančio klientų grupę. Klausytojo atidarymas neduoda nė vieno iš jų. Tunelis, kuris užmezgamas, bet neneša naudingo srauto, paprastai nepavyksta čia, o ne autentifikacijoje. Sėkmingą rankos paspaudimą laikykite diagnozės pradžia, o ne pabaiga.

Parašykite planą kaip tris konkrečius sprendimus: kokį šaltinio diapazoną gauna klientai, kaip jų srautas išeina į internetą ir kaip atsakymai randa kelią atgal. Tada patvirtinkite, kad branduolys sutinka su planu, prieš testuodami klientą, kad tylus neatitikimas nebūtų palaikytas kliento pusės gedimu.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Nuspręskite dėl IPv6 aiškiai

IPv6 ateina keliais mechanizmais, kurie šliuzui elgiasi skirtingai: adresas instancijoje, maršrutizuotas priešdėlis arba visiškai nieko. Tik maršrutizuotas priešdėlis leidžia serveriui įprastai duoti adresus klientams. Prielaida, kad veikiantis IPv6 adresas priegloboje reiškia tinkamą kliento priešdėlį, yra klaida, kuri vėliau pasirodo kaip pusiau sulaužytas ryšys. Tai tokio tipo gedimas, kuris išgyvena kiekvieną bandymą, atliktą tik su IPv4.

Jei tiekėjas nemaršrutizuoja jokio priešdėlio, nuspręskite, ar tunelis skirtas tik IPv4, ir ar klientams reikia tai pasakyti. Dokumentuotas nebuvimas saugesnis už dalinę konfigūraciją, kuri tyliai siunčia IPv6 paskirties vietas į juodąją skylę prisijungusiems naudotojams.

Įrodykite tai iš išorinio kliento

Vietinė paslaugos būsena aprašo vieną procesą viename serveryje. Naudingas bandymas yra įgaliotas klientas kitame tinkle, kuris prisijungia profiliu, kurį ketinate platinti, tada pasiekia programą ir išsprendžia vardą. Prisijunkite dar kartą, nes tunelis, veikiantis tik pirmuoju bandymu, neatitinka praktikoje svarbiausio reikalavimo.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Laikykite operacinius pagrindus šalia bandymo: vietos atnaujinimams, riboti žurnalai, administracinė prieiga, nepriklausanti nuo tunelio, atkūrimo konsolė ir pastaba apie tai, kas nutinka klientų profiliams, kai instancija atstatoma ir pasikeičia jos viešas adresas. Jei reikiamos sąsajos ar persiuntimo modelio tiesiog nėra, joks kliento pusės pakeitimas to nesuteiks, o sąžiningas kitas žingsnis yra kitas instancijos tipas, o ne daugiau konfigūracijos.