VPS таны VPN-г хүлээн авахаас өмнө юу зөвшөөрөх ёстой

Инстанс ачаалагдаж, багц суулгалт амжилттай болж, үйлчилгээ ажиллаж буй төлөвийг хүртэл мэдээлдэг ч юу ч холбогдохгүй байна. Энэ загвар виртуал хувийн серверт түгээмэл байдаг, учир нь интернэтэд хялбар хүрдэг зочин таны протокол шаарддаг интерфэйсийг үүсгэж чадахгүй байж болно. Таван шалгалт туннель үйлчилж чадах хостийг зөвхөн бэлэн харагдах хостээс ялгадаг бөгөөд эхний бүтэлгүй шалгалт ихэвчлэн дараагийн бүхнийг тайлбарладаг. Тус бүр нь ажиллуулахад хямд бөгөөд тэмдэглэлээр биш шийдвэрээр төгсдөг.

Протоколд хэрэгтэй интерфэйсийг баталгаажуулна уу

OpenVPN TUN дээр ажиллахад тэмдэгт төхөөрөмж болон түүний ард байх цөмийн модуль хэрэгтэй; WireGuard өөрийн цөмийн дэмжлэг эсвэл тохирох хүлээлт бүхий хэрэглэгчийн орон зайн хэрэгжилтийг шаарддаг. Удирдлагатай контейнерууд төхөөрөмжийг хэзээ ч илрүүлдэггүй хост цөмийг хуваалцаж болох бөгөөд зарим платформ юу суусан байсан ч туннелийн интерфэйс үүсгэхийг бүрэн хориглодог.

Дэмжлэгийн хуудас уншихын оронд чадварыг шалгана уу, учир нь маркетингийн шошго үндсэн хязгаараас хурдан өөрчлөгддөг. Нэг төлөвлөгөөнд зориулж бичсэн функцын жагсаалт зочин бодитоор ажиллаж буй цөмийг тайлбарлаагүй байж болно. Хоёр богино команд өргөн хэрэглэгддэг протоколуудын асуултад хариулж, хоёулаа ардаа цэвэрлэдэг. Доорх командууд байнгын зүйл үүсгэхгүй бөгөөд даруй устгагдана.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Эхний хос дээр татгалзсан нь TUN боломжгүй, OpenVPN-ийн өгөгдмөл горим эхэлж чадахгүй гэсэн үг; сүүлийн мөрөнд татгалзсан нь WireGuard цөмийн интерфэйс байхгүй гэсэн үг. Цөмийн TUN/TAP баримт бичиг эхний шалгалт туршдаг төхөөрөмжийг тайлбарладаг. Энэ хоёр алдааны аль нь ч VPN багцыг дахин суулгаснаар засагдахгүй.

Орж буй замд хоёр эзэн байдаг гэдгийг санаарай

Үйлчилгээ үзүүлэгчийн сүлжээний дүрэм, зочны галт хана нь тусдаа систем бөгөөд урсгал хоёуланг нь давах ёстой. Зочинд холбогдсон сонсогч нь үйлчилгээ үзүүлэгчийн аюулгүй байдлын бүлэг портыг хаявал ямар ч утгагүй, нээлттэй үйлчилгээ үзүүлэгчийн дүрэм зочин пакетыг татгалзвал юу ч хийдэггүй. Сонсогчийг, дараа нь зочны дүрмийг, дараа нь үйлчилгээ үзүүлэгчийн панелийг энэ дарааллаар шалгаж, портын дугаартай хамт протоколыг ч баталгаажуулна уу. Үйлчилгээ үзүүлэгчийн панель руу шууд үсрэх нь хүмүүс хэрэггүй хүрээг нээх арга юм.

UDP бол ердийн золиос: олон платформ TCP-г өгөгдмөлөөр зөвшөөрч, UDP дүрмийг тусдаа бичлэг гэж үздэг. Хэрэв инстанс нийтийн хаягтай байхын оронд үйлчилгээ үзүүлэгчийн NAT-ийн ард байвал үйлчилгээ үзүүлэгчийн талд порт дамжуулалт нь зохицуулах гурав дахь тохиргоо болдог.

Зөвхөн гарах гарцыг биш буцах замыг төлөвлө

Бүрэн туннелийн үйлчилгээнд идэвхжсэн дамжуулалт, клиентийн урсгалын орчуулга эсвэл чиглүүлэлтийн схем, клиентийн бүлэгт хүрэх буцах зам хэрэгтэй. Сонсогч нээх нь эдгээрийн аль нэгийг ч өгөхгүй. Тогтоогдсон ч ашигтай урсгал зөөдөггүй туннель ихэвчлэн баталгаажуулалт дээр биш, энд бүтэлгүйтдэг. Амжилттай гар барилтыг оношлогооны төгсгөл биш эхлэл гэж үзээрэй.

Төлөвлөгөөг гурван тодорхой шийдвэр хэлбэрээр бич: клиентүүд ямар эх сурвалжийн хүрээ авдаг, тэдний урсгал интернэт рүү хэрхэн гардаг, хариултууд буцах замаа хэрхэн олдог. Дараа нь клиент туршихаас өмнө цөм төлөвлөгөөтэй санал нийлж буйг баталгаажуул, ингэснээр чимээгүй зөрүүг клиентийн талын гэмтэл гэж андуурахгүй.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

IPv6 асуудлыг тодорхой шийд

IPv6 нь гарцын хувьд өөр өөр ажилладаг хэд хэдэн механизмаар ирдэг: инстанс дээрх хаяг, чиглүүлсэн префикс эсвэл огт юу ч биш. Зөвхөн чиглүүлсэн префикс л серверт клиентүүдэд хаягийг ердийн аргаар өгөх боломж олгодог. Хост дээр ажиллаж буй IPv6 хаяг нь ашиглах боломжтой клиентийн префикс гэсэн таамаг нь дараа нь хагас эвдэрсэн холболт хэлбэрээр илрэх алдаа юм. Энэ нь зөвхөн IPv4-ээр хийсэн бүх туршилтыг даван туулдаг гэмтлийн төрөл.

Хэрэв үйлчилгээ үзүүлэгч ямар ч префикс чиглүүлэхгүй бол туннель зөвхөн IPv4 эсэх, клиентүүдэд хэлэх эсэхийг шийд. Баримтжуулсан байхгүй байдал нь холбогдсон хэрэглэгчдэд IPv6 очих газрыг чимээгүйгээр хар нүх рүү хаядаг хэсэгчилсэн тохиргооноос илүү аюулгүй.

Үүнийг гадаад клиентээс нотол

Орон нутгийн үйлчилгээний төлөв нэг хост дээрх нэг процессыг тайлбарладаг. Ашигтай туршилт бол өөр сүлжээн дэх эрх бүхий клиент, тараахаар төлөвлөж буй профайлаар холбогдож, дараа нь аппликейшнд хүрч нэрийг шийддэг. Нэг удаа дахин холбогдоорой, учир нь зөвхөн эхний оролдлогод ажилладаг туннель практикт хамгийн чухал шаардлагыг биелүүлдэггүй.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Туршилтын хажууд үйл ажиллагааны үндсийг хадгал: шинэчлэлтэд зай, хязгаарлагдмал бүртгэл, туннелээс хамааралгүй захиргааны хандалт, сэргээх консол, мөн инстанс дахин бүтээгдэж, нийтийн хаяг нь өөрчлөгдөхөд клиентийн профайлд юу тохиолдох тухай тэмдэглэл. Хэрэв шаардлагатай интерфэйс эсвэл дамжуулалтын загвар ердөө байхгүй бол клиентийн талын ямар ч өөрчлөлт үүнийг өгөхгүй бөгөөд шударга дараагийн алхам нь илүү их тохиргоо биш, өөр төрлийн инстанс юм.