Maršrutētājs vai atsevišķs dators kā jūsu VPN serveris: kā izvēlēties

Gan maršrutētājs, gan mazs dators var pabeigt VPN, un lēmums reti ir atkarīgs no caurlaidspējas. Tas ir atkarīgs no tā, kas lieto atjauninājumu divos naktī, kas vēl apstājas, kad šī kaste pārstartējas, un vai jūs joprojām varat sasniegt konsoli, kad salūzis ir tieši tunelis. Atbildiet uz šiem trim jautājumiem katram kandidātam, un izvēle parasti izdara sevi pati. Tālāk aprakstītā procedūra pārvērš salīdzinājumu īsā sarakstā ar lietām, ko varat pārbaudīt pirms apņemšanās.

Sāciet ar to, kam jāpaliek darbā, kad tunelis sabrūk

Traucējums, kam jāprojektē, ir tas, kad VPN process mirst un jums tomēr jāsasniedz saimnieks. Maršrutētājā tunelis un interneta vārteja dala vienu likteni: viena slikta konfigurācijas izmaiņa var nogāzt abus, un atkopšanas ceļš bieži ir fiziska atiestatīšana. Atsevišķā datorā vārteja turpina darboties, un saimnieks joprojām ir sasniedzams caur LAN. Kuru no šiem iznākumiem varat pieļaut, izšķir vairāk nekā jebkurš funkciju saraksts.

Uzrakstiet atbildi kā teikumu: ja VPN saimnieks pārstartējas, ko zaudē mājsaimniecība vai birojs? Ja atbilde ietver visu piekļuvi internetam, jūs esat pieņēmis kopīgu bojājumu domēnu, un tas jāsaka apzināti, nevis jāatklāj vēlāk.

Otrs pakalpojums tajā pašā ierīcē nav rezerves konsole. Tas dala barošanas avotu, programmaparatūru un administratora kontu.

Saskaitiet apkopes virsmas, ko pievieno katrs saimnieks

Maršrutētājs nāk ar ražotāja programmaparatūru ar savu izlaišanas ritmu, un VPN funkcija parasti ir viens modulis daudz lielākā attēlā. Dators nāk ar operētājsistēmu, pakotņu pārvaldnieku, kodolu un pakalpojumu kopumu, kas tagad pieder jums. Abiem vajag ielāpus, un īstais jautājums ir, kādu ritmu jūs uzturēsiet, kad jaunums būs pagājis.

Linux saimniekā padariet šo ritmu redzamu, nevis ceriet uz to. systemctl list-timers parāda ieplānotos darbus, un apt list --upgradable parāda, kas gaida. Pierakstiet, kuriem atjauninājumiem vajag pārstartēšanu, jo pārstartēts VPN saimnieks ir pārtraukums, ja vien jūs to neesat ieplānojis. Maršrutētājam bez automātiska atjaunināšanas ceļa tā vietā vajag kalendāra ierakstu, kas ir vājāka kontrole, bet godīga.

Saskaitiet arī kontus. Katra papildu administratora pieteikšanās VPN saimniekā ir vēl viens akreditācijas dati, kas jāmaina, un vēl viens ceļš, kas jāatsauc.

Sekojiet privātā tīkla ceļam, nevis etiķetei uz kastes

Klientiem nav svarīgi, kur serveris darbojas; viņiem svarīgi, vai aizsargātie prefiksi ir sasniedzami un vai pastāv atgriešanās ceļš. Novietojiet serveri tur, kur maršrutēšana ir visvienkāršākā, kas parasti nozīmē tieši uz segmenta, kurā ir resursi. Datoram aiz maršrutētāja joprojām vajag porta pāradresāciju, un tā LAN resursiem joprojām vajag maršrutu atpakaļ uz tuneļa apakštīklu.

Pārbaudiet pāradresāciju saimniekā, pirms vainojat klientu. sysctl net.ipv4.ip_forward jāziņo 1, un nft list ruleset vai iptables -S parāda, vai tuneļa saskarnei vispār ir atļauts pāradresēt. Trūkstošs masquerade noteikums no klienta puses izskatās tieši kā salūzis tunelis.

Izlemiet arī, ko tunelim nevajadzētu sasniegt. Maršrutētājā ievietots serveris redz katru apakštīklu, ko šis maršrutētājs maršrutē, un tas bieži ir vairāk, nekā paredz piekļuves politika. Atsevišķā saimniekā tā pati izolācija ir vienu ugunsmūra noteikumu attālumā, un apdraudēta klienta kaitējuma rādiuss ir mazāks. RFC 7296 IPsec vārtejas apraksts to uzskata par maršrutēšanas un politikas jautājumu, nevis aparatūras, un neviena forma nav drošāka pēc noklusējuma, kamēr politika nav pierakstīta.

Turiet atkopšanas konsoli, kas nav atkarīga no tuneļa

Konsole, ar ko labojat VPN, nevar būt pats VPN. Turiet LAN adresi, sērijas konsoli vai pakalpojumu sniedzēja konsoli, kas darbojas, kamēr tunelis ir nogāzts, un izmantojiet to vismaz vienu reizi pirms tā jums vajadzīga. Nekad nepārbaudīts ārpuses ceļš ir plāns, nevis spēja.

Veidojiet konfigurācijas dublējumu tur, kur pats saimnieks to nevar izdzēst. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn satver atslēgas un pakalpojumu definīcijas, un kopijai jāiziet no mašīnas. Iekļaujiet ugunsmūra noteikumus un klientu sarakstu, jo atslēgu atjaunošana bez partneru saraksta rada serveri, kuram neviens nevar pievienoties. Glabājiet arhīvu tur, kur atkopšanas konsole to var sasniegt.

Ierakstiet atritināšanas soli tajā pašā piezīmē. Konfigurācijas izmaiņa bez dokumentētas atgriešanas ir pastāvīga izmaiņa, lai kāds būtu nodoms.

Pārbaudiet izvēli ar pārstartēšanu un atjauninājumu

Pārbaudiet izkārtojumu tā, kā tas sabruks, nevis tā, kā tas darbojas labā dienā. Pārstartējiet saimnieku, lietojiet gaidošo atjauninājumu un apstipriniet, ka tunelis atgriežas bez manuāliem soļiem.

Pēc pārstartēšanas pārbaudiet trīs lietas, kas visbiežāk salūzt. systemctl is-active wg-quick@wg0 ziņo, vai saskarne atgriezās, ss -lunp parāda, vai kaut kas klausās portā, un wg show uzskaita partneri ar pabeigtu rokasspiedienu. Aktīvs pakalpojums bez rokasspiediena nozīmē, ka vainīgs ir ugunsmūris vai maršruts, nevis dēmons.

Atkārtojiet pārbaudi no klienta citā tīklā nekā tajā, no kura konfigurējāt. Ja tunelis pārdzīvo pārstartēšanu, atjauninājumu un klienta tīkla maiņu, saimnieka izvēle šobrīd ir izlemta. Ja nē, trūkstošā daļa parasti ir dokumentēts solis, nevis cita kaste.