Што мора да дозволи VPS пред да може да го хостира вашиот VPN

Инстанцата се подига, инсталациите на пакети успеваат, а услугата дури пријавува работна состојба, но ништо не се поврзува. Овој образец е чест на виртуелни приватни сервери, бидејќи гостин што удобно стигнува до интернет и понатаму може да не биде способен да го создаде интерфејсот што го бара вашиот протокол. Пет проверки раздвојуваат домаќин што може да служи тунел од оној што само изгледа подготвен, а првата неуспешна проверка обично објаснува и сето она што следи. Секоја е евтина за извршување и завршува со одлука, а не со забелешка.

Потврдете го интерфејсот што му е потребен на протоколот

OpenVPN преку TUN бара знаковен уред и кернелски модул зад него; WireGuard бара сопствена кернелска поддршка или имплементација во кориснички простор со соодветни очекувања. Управуваните контејнери може да делат домаќински кернел што никогаш не го изложува уредот, а некои платформи целосно забрануваат создавање тунелски интерфејси, без оглед на тоа што е инсталирано.

Тестирајте ја способноста наместо да читате страница за поддршка, бидејќи маркетинг етикетите се менуваат побрзо од основните ограничувања. Список на функции напишан за еден план можеби не го опишува кернелот на кој гостинот навистина работи. Две кратки команди го одговараат прашањето за најчесто користените протоколи и двете чистат по себе. Командите подолу не создаваат ништо трајно и веднаш се отстрануваат.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Одбивање на првиот пар значи дека TUN не е достапен и стандардниот режим на OpenVPN не може да започне; одбивање на последната линија значи дека недостасува кернелскиот интерфејс на WireGuard. Кернелската документација за TUN/TAP го опишува уредот што го испитува првата проверка. Ниту една од двете грешки не се поправа со повторно инсталирање на VPN пакетот.

Запомнете дека влезната патека има два сопственици

Мрежните правила на добавувачот и огнениот ѕид на гостинот се одделни системи, а сообраќајот мора да ги помине и двата. Слушач врзан на гостинот не значи ништо ако безбедносната група на добавувачот ја отфрли портата, а отворено правило на добавувачот не прави ништо ако гостинот го одбие пакетот. Проверете го слушачот, потоа правилата на гостинот, потоа панелот на добавувачот, во тој редослед, и потврдете и протоколот и бројот на портата. Скокањето директно на панелот на добавувачот е начинот на кој луѓето отвораат опсег што не им бил потребен.

UDP е вообичаената жртва: многу платформи стандардно дозволуваат TCP и ги третираат UDP правилата како одделен запис. Ако инстанцата стои зад NAT на добавувачот наместо да има јавна адреса, препраќањето порти на страната на добавувачот станува трета конфигурација што треба да се усогласи.

Планирајте ја повратната патека, не само излезот

Услугата со целосен тунел бара овозможено препраќање, шема за превод или рутирање на сообраќајот на клиентите и повратна патека што стигнува до групата клиенти. Отворањето слушач не дава ниту едно од овие. Тунел што се воспоставува но не носи корисен сообраќај обично не успева тука, а не при автентикација. Третирајте успешното ракување како почеток на дијагнозата, не како нејзин крај.

Напишете го планот како три конкретни одлуки: кој опсег на извор го добиваат клиентите, како нивниот сообраќај излегува кон интернет и како одговорите го наоѓаат патот назад. Потоа потврдете дека кернелот се согласува со планот пред да тестирате клиент, за да не се сфати тивко несогласување како дефект на страната на клиентот.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Одлучете за IPv6 експлицитно

IPv6 доаѓа преку неколку механизми што се однесуваат различно за портал: адреса на инстанцата, рутиран префикс или ништо. Само рутиран префикс му дозволува на серверот да дава адреси на клиентите на вообичаениот начин. Претпоставката дека работна IPv6 адреса на домаќинот значи употреблив клиентски префикс е грешка што подоцна се појавува како напола скршена поврзаност. Тоа е вид дефект што преживува секое тестирање извршено само со IPv4.

Ако добавувачот не рутира ниту еден префикс, одлучете дали тунелот е само IPv4 и дали клиентите треба да бидат известени. Документирано отсуство е побезбедно од делумна конфигурација што тивко ги фрла IPv6 одредиштата во црна дупка за поврзаните корисници.

Докажете го од надворешен клиент

Локалната состојба на услугата опишува еден процес на еден домаќин. Корисното тестирање е овластен клиент на друга мрежа, што се поврзува со профилот што имате намера да го дистрибуирате, потоа стигнува до апликација и решава име. Поврзете се уште еднаш, бидејќи тунел што работи само при првиот обид не го исполнува барањето што е најважно во практиката.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Држете ги оперативните основи покрај тестирањето: простор за ажурирања, ограничени дневници, административен пристап што не зависи од тунелот, конзола за обновување и забелешка за тоа што се случува со клиентските профили кога инстанцата се обновува и нејзината јавна адреса се менува. Ако потребниот интерфејс или модел на препраќање едноставно не е достапен, никаква промена на страната на клиентот нема да го обезбеди, а чесниот следен чекор е друг тип на инстанца, а не повеќе конфигурација.