Kas tev vajadzīgs, pirms mitināt savu VPN serveri?

Servera programmatūras instalēšana ir īsākā pašmitinātas VPN daļa, un tas ir solis, ar kuru cilvēki sāk. Vai izvietošana darbosies, ir atkarīgs no tā, vai klients sasniedz galapunktu, ko šis klients drīkst sasniegt pēc tam un kā tu nokļūsti atpakaļ iekšā, kad tunelis ir tieši tas, kas salūza. Atrisini visas trīs lietas, pirms tiek palaists paku pārvaldnieks.

Divi no tiem ir dizaina lēmumi, bet trešais ir darbības ieradums. Visus trīs ir lētāk salabot uz papīra nekā pārtraukuma laikā.

Izlem, kam klientiem jāpiekļūst

Attālās piekļuves serverim vajag maršrutu uz privāto tīklu, ko tas reklamē, un atgriešanās ceļu atbildēm, kas padara to par šī tīkla maršrutētāju, nevis tikai klausītāju. Interneta izejas serverim vajag pāradresāciju plus adresācijas vai tulkošanas kārtību, un pabeigta rokasspiediena sesija nedod ne vienu, ne otru. Izvēlies uzdevumu pirms topoloģijas, jo abi risinājumi atšķiras maršrutēšanā, ugunsmūra noteikumos un tajā, ko klients sūta pa tuneli. Serverim, no kura prasa abus, vajag abus noteikumu kopumus un atbilstošu klienta noklusējuma maršruta sadalījumu.

Izvēlies tuneļa un LAN diapazonus, kas nevar sadurties ar tīkliem, kurus tavi klienti jau izmanto, jo portatīvais dators, kuram jau ir 192.168.1.0/24, turpinās izmantot šo maršrutu, nevis tuneli, kas izdala to pašu prefiksu. Pārbaudi IPv4 un IPv6 atsevišķi, jo daudzi pirmo izdara pareizi un otro nekad nepamana. Tur, kur serveris atrodas aiz cita maršrutētāja, apstiprini sasniedzamību no ārpuses, nevis uzticies vienai porta pāradresācijai, kurai jāapraksta katra kārta.

Identitātes, atslēgas un ceļš atpakaļ

Izsniedz atsevišķu identitāti katram ierīcei tur, kur programmatūra to atbalsta, lai pazaudēts portatīvais dators nozīmētu viena partnera atsaukšanu, nevis servera pārbūvi. Privātās atslēgas pieder aizsargātai krātuvei un nekad profilam, kas ielīmēts čata ziņā. Atgūšanas ceļš ir tā daļa, ko cilvēki izlaiž: piekļuve konsolei, sērijveida konsole vai ārpusjoslas pārvaldības saskarne, kas nav atkarīga no tuneļa. Bez tā slikts ugunsmūra noteikums pārvērš nelielu izmaiņu apmeklējumā uz vietas.

Uzraksti noņemšanas procedūru vienlaikus ar pievienošanas procedūru. Ierīces atsaukšana ir darbība, kas tev agrāk vai vēlāk būs vajadzīga, un to ir vieglāk aprakstīt, kamēr iestatījumi vēl ir svaigi.

Galapunkts mājās vai nomāts?

Trīs nosacījumi izšķir starp mitināšanu mājās un maza instanča nomu. Pirmais ir vai ienākošie savienojumi vispār sasniedz tavu tīklu, jo operatora līmenī tulkots augšupceļš vai ierobežojošs ēkas tīkls šo iespēju izslēdz. Otrais ir, vai izejai jāparādās citur, nevis tavā pilsētā, jo to maina tikai nomāts galapunkts. Trešais ir apetīte pēc otrām uzticības attiecībām, jo mitināšanas pakalpojumu sniedzējs iekļaujas modelī un var novērot galapunktu pat tad, kad nevar nolasīt satiksmi.

Ja pirmais nosacījums ir izpildīts un otrais nav būtisks, mitināšana mājās ir īsākais ceļš. Nomāts galapunkts nopērk atrašanās vietu un pieejamību, nevis privātumu pašu par sevi.

Pierādi to ar vienu klientu un pārstartēšanu

Palaid vienu klientu, apstiprini resursu, kuram tam jāpiekļūst, un apstiprini, ka tas pārstāj sasniegt to, kam nevajadzētu. Tālāk esošās komandas rāda partnera stāvokli, servera instalētos maršrutus un to, vai pāradresācija ir iespējota. Palaid tās, pirms pievieno kādu citu.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Partneris ar nesenu rokasspiedienu ir savienots, savukārt partneris bez rokasspiediena nekad nav pārrunājis, un tās ir dažādas kļūmes. Izslēgta pāradresācija izskaidro tuneli, kas paceļas un neko nenes, tāpēc pārbaudi serveri, pirms vaino klientu. Trūkstošs klausītājs nozīmē, ka pakalpojums nav startējis ar konfigurāciju, kuru tu domā. Pēc tam apzināti pārstartē serveri un atkārto visu kopumu, jo tunelis, kas darbojas tikai līdz pārstartēšanai, ir bieži laimīgā ceļa testēšanas rezultāts.

Pieraksti galapunktu, partnerus, diapazonus un atgūšanas metodi vienā lapā. Šī lapa ir rokasgrāmata, ko lasīsi vismazāk ērtā brīdī.