Penghala atau komputer berasingan sebagai pelayan VPN anda: cara memilih

Kedua-dua penghala dan komputer kecil boleh menamatkan VPN, dan keputusan jarang bergantung pada daya pemprosesan. Ia bergantung pada siapa yang menggunakan kemas kini pada pukul dua pagi, apa lagi yang berhenti apabila kotak itu but semula, dan sama ada anda masih boleh mencapai konsol apabila terowong itulah yang rosak. Jawab ketiga-tiga soalan itu untuk setiap calon dan pilihan biasanya membuat dirinya sendiri. Prosedur di bawah menukar perbandingan itu kepada senarai pendek perkara yang boleh anda semak sebelum komited.

Mulakan dengan apa yang mesti kekal berjalan apabila terowong gagal

Kegagalan yang perlu direka bentuk ialah kegagalan apabila proses VPN mati dan anda tetap perlu mencapai hos. Pada penghala, terowong dan gerbang internet berkongsi nasib: satu perubahan konfigurasi yang buruk boleh menjatuhkan kedua-duanya, dan laluan pemulihan selalunya ialah set semula fizikal. Pada komputer berasingan, gerbang terus berfungsi dan hos masih boleh dicapai melalui LAN. Hasil mana yang anda boleh tahan menentukan lebih banyak daripada mana-mana senarai ciri.

Tulis jawapannya sebagai satu ayat: jika hos VPN but semula, apa yang hilang dari rumah atau pejabat? Jika jawapan itu merangkumi semua akses internet, anda telah menerima domain kegagalan bersama dan patut menyatakannya dengan sengaja daripada menemuinya kemudian.

Perkhidmatan kedua pada perkakas yang sama bukan konsol ganti. Ia berkongsi bekalan kuasa, firmware dan akaun pentadbir.

Kira permukaan penyelenggaraan yang ditambah oleh setiap hos

Penghala membawa firmware pengeluar dengan rentak keluaran sendiri, dan ciri VPN biasanya satu modul di dalam imej yang jauh lebih besar. Komputer membawa sistem pengendalian, pengurus pakej, kernel dan satu set perkhidmatan yang kini menjadi milik anda. Kedua-duanya memerlukan tampalan, dan soalan sebenar ialah rentak mana yang akan anda kekalkan apabila kebaharuan itu pudar.

Pada hos Linux, jadikan rentak itu kelihatan dan bukan diharapkan. systemctl list-timers menunjukkan tugas berjadual dan apt list --upgradable menunjukkan apa yang menunggu. Catat kemas kini mana yang memerlukan but semula, kerana hos VPN yang but semula ialah gangguan melainkan anda merancangnya. Penghala tanpa laluan kemas kini automatik memerlukan entri kalendar sebagai ganti, iaitu kawalan yang lebih lemah tetapi jujur.

Kira akaun juga. Setiap log masuk pentadbir tambahan pada hos VPN ialah satu lagi kelayakan untuk diputar dan satu lagi laluan untuk dibatalkan.

Ikuti laluan rangkaian peribadi, bukan label pada kotak

Klien tidak kisah di mana pelayan berjalan; mereka kisah sama ada awalan yang dilindungi boleh dicapai dan sama ada laluan balik wujud. Letakkan pelayan di tempat penghalaan paling mudah, yang biasanya bermaksud terus pada segmen yang menyimpan sumber. Komputer di belakang penghala masih memerlukan pemajuan port, dan sumber pada LAN itu masih memerlukan laluan balik ke subnet terowong.

Semak pemajuan pada hos sebelum menyalahkan klien. sysctl net.ipv4.ip_forward sepatutnya melaporkan 1, dan nft list ruleset atau iptables -S menunjukkan sama ada antara muka terowong dibenarkan memajukan sama sekali. Peraturan masquerade yang hilang kelihatan dari sisi klien sama seperti terowong yang rosak.

Tentukan juga apa yang terowong tidak boleh capai. Pelayan yang diletakkan pada penghala boleh melihat setiap subnet yang dihalakan penghala itu, dan itu selalunya lebih daripada yang dimaksudkan oleh dasar akses. Pada hos berasingan, pengasingan yang sama hanya satu peraturan tembok api jauhnya, dan jejari kerosakan klien yang terjejas lebih kecil. Perihalan gerbang IPsec dalam RFC 7296 menganggap ini sebagai persoalan penghalaan dan dasar, bukan perkakasan, dan tidak satu pun bentuk lebih selamat secara lalai sehingga dasar itu ditulis.

Simpan konsol pemulihan yang tidak bergantung pada terowong

Konsol yang anda gunakan untuk membaiki VPN tidak boleh menjadi VPN itu sendiri. Simpan alamat LAN, konsol bersiri atau konsol penyedia yang berfungsi semasa terowong turun, dan gunakannya sekurang-kurangnya sekali sebelum anda memerlukannya. Laluan di luar jalur yang tidak pernah dilatih ialah rancangan, bukan keupayaan.

Buat sandaran konfigurasi di tempat yang hos itu sendiri tidak boleh memadamnya. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn menangkap kunci dan takrif perkhidmatan, dan salinan itu mesti keluar dari mesin. Sertakan peraturan tembok api dan inventori klien, kerana memulihkan kunci tanpa senarai rakan menghasilkan pelayan yang tiada siapa boleh sertai. Simpan arkib di tempat yang konsol pemulihan boleh mencapainya.

Tulis langkah pengunduran dalam nota yang sama. Perubahan konfigurasi tanpa pembalikan yang didokumenkan ialah perubahan kekal, apa pun niatnya.

Sahkan pilihan dengan but semula dan kemas kini

Uji susunan itu seperti ia akan gagal, bukan seperti ia berfungsi pada hari yang baik. But semula hos, gunakan kemas kini yang tertunda, dan sahkan terowong kembali tanpa langkah manual.

Selepas but semula, semak tiga perkara yang paling kerap rosak. systemctl is-active wg-quick@wg0 melaporkan sama ada antara muka kembali, ss -lunp menunjukkan sama ada sesuatu mendengar pada port, dan wg show menyenaraikan rakan dengan jabat tangan yang selesai. Perkhidmatan yang aktif tanpa jabat tangan bermaksud tembok api atau laluan yang salah, bukan daemon.

Ulang semakan dari klien pada rangkaian berbeza daripada yang anda gunakan untuk mengkonfigurasi. Jika terowong bertahan melalui but semula, kemas kini dan pertukaran rangkaian klien, pilihan hos sudah selesai buat masa ini. Jika tidak, bahagian yang hilang biasanya langkah yang didokumenkan dan bukan kotak lain.