Рутер или посебен компјутер како ваш VPN сервер: како да изберете

И рутерот и малиот компјутер можат да завршат VPN, а одлуката ретко зависи од пропусноста. Таа зависи од тоа кој го применува ажурирањето во два часот по полноќ, што друго запира кога таа кутија се рестартира и дали сѐ уште можете да стигнете до конзола кога тунелот е она што се расипало. Одговорете на овие три прашања за секој кандидат и изборот обично сам се прави. Постапката подолу го претвора споредувањето во краток список на работи што можете да ги проверите пред да се обврзете.

Започнете со она што мора да остане во работа кога тунелот ќе откаже

Дефектот за кој треба да се проектира е оној во кој VPN процесот умира, а вие сепак треба да стигнете до домаќинот. На рутер, тунелот и интернет портата делат иста судбина: една лоша промена на конфигурацијата може да ги собори двете, а патот за закрепнување често е физичко ресетирање. На посебен компјутер портата продолжува да работи, а домаќинот е сѐ уште достапен преку LAN. Кој од тие исходи можете да го поднесете одлучува повеќе од кој било список на функции.

Напишете го одговорот како реченица: ако домаќинот на VPN се рестартира, што губи домаќинството или канцеларијата? Ако одговорот вклучува целиот пристап до интернет, сте прифатиле заеднички домен на дефект и тоа треба намерно да го кажете наместо да го откриете подоцна.

Втора услуга на истиот уред не е резервна конзола. Таа дели напојување, фирмвер и администраторска сметка.

Избројте ги површините за одржување што ги додава секој домаќин

Рутерот носи фирмвер од производителот со сопствен ритам на изданија, а VPN функцијата обично е еден модул во многу поголема слика. Компјутерот носи оперативен систем, менаџер на пакети, јадро и збир услуги што сега се ваши. И двете бараат закрпи, а вистинското прашање е кој ритам ќе го задржите кога новината ќе исчезне.

На Linux домаќин, направете го тој ритам видлив наместо да се надевате на него. systemctl list-timers ги прикажува закажаните работи, а apt list --upgradable прикажува што чека. Запишете кои ажурирања бараат рестартирање, бидејќи VPN домаќин што се рестартира е прекин, освен ако не сте го планирале. Рутер без автоматски пат за ажурирања наместо тоа бара запис во календарот, што е послаба контрола, но искрена.

Избројте ги и сметките. Секое дополнително најавување на администратор на VPN домаќинот е уште едно уверение за ротирање и уште еден пат за отповикување.

Следете ја патеката во приватната мрежа, не етикетата на кутијата

На клиентите не им е важно каде работи серверот; им е важно дали заштитените префикси се достапни и дали постои повратен пат. Ставете го серверот таму каде што рутирањето е наједноставно, што обично значи директно на сегментот што ги држи ресурсите. Компјутерот зад рутерот сѐ уште бара пренасочување на порта, а ресурсите на тој LAN сѐ уште бараат рута назад кон подмрежата на тунелот.

Проверете го пренасочувањето на домаќинот пред да го обвините клиентот. sysctl net.ipv4.ip_forward треба да пријави 1, а nft list ruleset или iptables -S покажува дали на интерфејсот на тунелот воопшто му е дозволено да пренасочува. Недостаток на masquerade правило изгледа од страната на клиентот точно како расипан тунел.

Одлучете и до што тунелот не смее да стигне. Сервер поставен на рутерот гледа секоја подмрежа што рутерот ја рутира, а тоа често е повеќе отколку што сака политиката за пристап. На посебен домаќин истата изолација е на едно правило на огнениот ѕид оддалеченост, а радиусот на штета од компромитиран клиент е помал. Описот на IPsec портата во RFC 7296 го третира ова како прашање на рутирање и политика, не на хардвер, и ниту една форма не е побезбедна по стандард додека политиката не е запишана.

Држете конзола за закрепнување што не зависи од тунелот

Конзолата со која го поправате VPN не може да биде самиот VPN. Држете LAN адреса, сериска конзола или конзола на провајдерот што работи додека тунелот е паднат, и употребете ја барем еднаш пред да ви треба. Пат надвор од опсегот што никогаш не е вежбан е план, а не способност.

Направете резервна копија од конфигурацијата некаде каде што самиот домаќин не може да ја избрише. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn ги фаќа клучевите и дефинициите на услугите, а копијата мора да ја напушти машината. Вклучете ги правилата на огнениот ѕид и списокот на клиенти, бидејќи враќање на клучеви без списокот на партнери создава сервер на кој никој не може да се приклучи. Сочувајте го архивот таму каде што конзолата за закрепнување може да го достигне.

Запишете го чекорот за враќање во истата белешка. Промена на конфигурацијата без документирано враќање е постојана промена, каква и да била намерата.

Проверете го изборот со рестартирање и ажурирање

Тестирајте го распоредот така како што ќе откаже, а не како што работи на добар ден. Рестартирајте го домаќинот, применете ажурирање што чека и потврдете дека тунелот се враќа без рачни чекори.

По рестартирањето проверете три работи што најчесто се расипуваат. systemctl is-active wg-quick@wg0 пријавува дали интерфејсот се вратил, ss -lunp покажува дали нешто слуша на портата, а wg show наведува партнер со завршено ракување. Активна услуга без ракување значи дека огнениот ѕид или рутата се погрешни, а не демонот.

Повторете ја проверката од клиент на друга мрежа од онаа од која конфигуриравте. Ако тунелот го преживее рестартирањето, ажурирањето и промената на клиентската мрежа, изборот на домаќин е решен засега. Ако не, делот што недостасува обично е документиран чекор, а не друга кутија.