Kas VPS jāatļauj, pirms tas var mitināt jūsu VPN

Instanci palaiž, pakotņu instalācijas izdodas, un pakalpojums pat ziņo par darbojošos stāvokli, bet nekas nepievienojas. Šis modelis ir izplatīts virtuālajos privātajos serveros, jo viesis, kas ērti sasniedz internetu, joprojām var nespēt izveidot saskarni, ko pieprasa jūsu protokols. Piecas pārbaudes atdala resursdatoru, kas spēj apkalpot tuneli, no tā, kas tikai izskatās gatavs, un pirmā neveiksmīgā pārbaude parasti izskaidro visu pēc tās. Katra ir lēta izpildē un beidzas ar lēmumu, nevis piezīmi.

Apstipriniet saskarni, kas protokolam nepieciešama

OpenVPN virs TUN nepieciešama rakstzīmju ierīce un aiz tās esošais kodola modulis; WireGuard nepieciešams savs kodola atbalsts vai lietotāja telpas ieviešana ar atbilstošām gaidām. Pārvaldītie konteineri var kopīgot resursdatora kodolu, kas nekad neatklāj ierīci, un dažas platformas pilnībā aizliedz tunela saskarņu izveidi neatkarīgi no tā, kas ir instalēts.

Pārbaudiet spēju, nevis lasiet atbalsta lapu, jo mārketinga marķējumi mainās ātrāk nekā pamatā esošie ierobežojumi. Vienam plānam rakstīts funkciju saraksts var neaprakstīt kodolu, uz kura viesis faktiski darbojas. Divas īsas komandas atbild uz jautājumu par parasti izmantotajiem protokoliem, un abas sakopj aiz sevis. Tālāk esošās komandas neko pastāvīgu neveido un tiek nekavējoties noņemtas.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Atteikums pirmajā pārī nozīmē, ka TUN nav pieejams un OpenVPN noklusējuma režīms nevar sākties; atteikums pēdējā rindā nozīmē, ka trūkst WireGuard kodola saskarnes. Kodola TUN/TAP dokumentācija apraksta ierīci, ko pārbauda pirmā pārbaude. Nevienu no abām kļūdām neizlabo VPN pakotnes pārinstalēšana.

Atcerieties, ka ienākošajam ceļam ir divi īpašnieki

Pakalpojumu sniedzēja tīkla noteikumi un viesa ugunsmūris ir atsevišķas sistēmas, un trafikam jāiztur abas. Uz viesa piesaistīts klausītājs neko nenozīmē, ja pakalpojumu sniedzēja drošības grupa atmet portu, un atvērts pakalpojumu sniedzēja noteikums neko nedara, ja viesis noraida paketi. Pārbaudiet klausītāju, tad viesa noteikumus, tad pakalpojumu sniedzēja paneli, šajā secībā, un apstipriniet gan protokolu, gan porta numuru. Lēkt uzreiz uz pakalpojumu sniedzēja paneli ir veids, kā cilvēki atver diapazonu, kas viņiem nebija vajadzīgs.

UDP ir ierastais upuris: daudzas platformas pēc noklusējuma atļauj TCP un uzskata UDP noteikumus par atsevišķu ierakstu. Ja instance atrodas aiz pakalpojumu sniedzēja NAT, nevis tai ir publiska adrese, portu pāradresācija pakalpojumu sniedzēja pusē kļūst par trešo saskaņojamo konfigurāciju.

Plānojiet atgriešanās ceļu, ne tikai izeju

Pilna tuneļa pakalpojumam nepieciešama iespējota pāradresācija, klientu trafika tulkošanas vai maršrutēšanas shēma un atgriešanās ceļš, kas sasniedz klientu kopu. Klausītāja atvēršana nedod nevienu no tiem. Tunelis, kas izveidojas, bet nenes lietderīgu trafiku, parasti neizdodas šeit, nevis autentifikācijā. Uzskatiet veiksmīgu rokasspiedienu par diagnozes sākumu, nevis beigām.

Uzrakstiet plānu kā trīs konkrētus lēmumus: kādu avota diapazonu klienti saņem, kā viņu trafiks iziet uz internetu un kā atbildes atrod ceļu atpakaļ. Pēc tam apstipriniet, ka kodols piekrīt plānam, pirms testējat klientu, lai klusu neatbilstību neuzskatītu par klienta puses defektu.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Izlemiet par IPv6 skaidri

IPv6 nāk pa vairākiem mehānismiem, kas vārtejai darbojas atšķirīgi: adrese uz instances, maršrutēts prefikss vai nekas. Tikai maršrutēts prefikss ļauj serverim parastā veidā dot adreses klientiem. Pieņēmums, ka strādājoša IPv6 adrese uz resursdatora nozīmē lietojamu klienta prefiksu, ir kļūda, kas vēlāk izpaužas kā puslīdz salauzta savienojamība. Tas ir tāda veida defekts, kas pārdzīvo katru pārbaudi, kas veikta tikai ar IPv4.

Ja pakalpojumu sniedzējs nemaršrutē nevienu prefiksu, izlemiet, vai tunelis ir tikai IPv4 un vai klientiem tas jāpasaka. Dokumentēta neesamība ir drošāka par daļēju konfigurāciju, kas klusi nosūta IPv6 galamērķus melnajā caurumā pievienotajiem lietotājiem.

Pierādiet to no ārēja klienta

Vietējais pakalpojuma stāvoklis apraksta vienu procesu vienā resursdatorā. Noderīgais tests ir autorizēts klients citā tīklā, kas pieslēdzas ar profilu, kuru plānojat izplatīt, pēc tam sasniedz lietojumprogrammu un atrisina vārdu. Pieslēdzieties vēlreiz, jo tunelis, kas darbojas tikai pirmajā mēģinājumā, neatbilst prasībai, kas praksē ir vissvarīgākā.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Turiet operatīvos pamatus līdzās testam: vieta atjauninājumiem, ierobežoti žurnāli, administratīva piekļuve, kas nav atkarīga no tuneļa, atjaunošanas konsole un piezīme par to, kas notiek ar klientu profiliem, kad instance tiek pārbūvēta un mainās tās publiskā adrese. Ja nepieciešamā saskarne vai pāradresācijas modelis vienkārši nav pieejams, nekādas klienta puses izmaiņas to nenodrošinās, un godīgais nākamais solis ir cits instances tips, nevis vairāk konfigurācijas.