Router jew kompjuter separat bħala s-server VPN tiegħek: kif tagħżel

Kemm router kif ukoll kompjuter żgħir jistgħu jtemmu VPN, u d-deċiżjoni rari tiddependi fuq il-produzzjoni. Tiddependi fuq min japplika l-aġġornament fit-tnejn ta' filgħodu, x'ieħor jieqaf meta dik il-kaxxa terġa' tibda, u jekk għadx tistax tasal għal console meta t-tunnel ikun dak li tkisser. Wieġeb dawn it-tliet mistoqsijiet għal kull kandidat u l-għażla ġeneralment tagħmel ruħha. Il-proċedura hawn taħt iddawwar il-paragun f'lista qasira ta' affarijiet li tista' tivverifika qabel ma timpenja ruħek.

Ibda b'dak li għandu jibqa' jaħdem meta t-tunnel ifalli

Il-falliment li għalih trid tiddisinja huwa dak fejn il-proċess VPN imut u int xorta trid tasal għall-host. Fuq router, it-tunnel u l-bieb tal-internet jaqsmu l-istess destin: bidla waħda ħażina fil-konfigurazzjoni tista' twaqqa' t-tnejn, u t-triq tal-irkupru spiss tkun reset fiżiku. Fuq kompjuter separat, il-bieb ikompli jaħdem u l-host għadu aċċessibbli permezz tal-LAN. Liema minn dawn ir-riżultati tista' tiflaħ jiddeċiedi aktar minn kwalunkwe lista ta' karatteristiċi.

Ikteb it-tweġiba bħala sentenza: jekk il-host VPN jerġa' jibda, x'jitlif id-dar jew l-uffiċċju? Jekk it-tweġiba tinkludi l-aċċess kollu għall-internet, inti aċċettajt dominju ta' falliment maqsum u għandek tgħid hekk deliberatament minflok ma tiskoprih aktar tard.

It-tieni servizz fuq l-istess apparat mhuwiex console ta' riżerva. Jaqsam il-provvista tal-enerġija, il-firmware u l-kont tal-amministratur.

Għodd il-wiċċijiet tal-manutenzjoni li kull host iżid

Router iġib firmware tal-manifattur bir-ritmu tal-ħruġ tiegħu stess, u l-karatteristika VPN normalment tkun modulu wieħed ġewwa immaġni ħafna akbar. Kompjuter iġib sistema operattiva, ġestitur tal-pakketti, kernel u sett ta' servizzi li issa huma tiegħek. It-tnejn jeħtieġu patches, u l-mistoqsija vera hija liema ritmu se żżomm ladarba l-ġdida tgħaddi.

Fuq host Linux, agħmel dak ir-ritmu viżibbli minflok ma tittamah. systemctl list-timers juri x-xogħlijiet skedati u apt list --upgradable juri x'qed jistenna. Irreġistra liema aġġornamenti jeħtieġu boot mill-ġdid, għax host VPN li jerġa' jibda huwa waqfa sakemm ma ppjanajtx waħda. Router mingħajr triq awtomatika ta' aġġornament jeħtieġ minflok dħul fil-kalendarju, li hija kontroll aktar dgħajfa iżda onesta.

Għodd il-kontijiet ukoll. Kull login addizzjonali tal-amministratur fuq il-host VPN huwa kredenzjali oħra biex iddur u triq oħra biex tħassar.

Segwi t-triq tan-netwerk privat, mhux it-tikketta fuq il-kaxxa

Il-klijenti ma jimpurtahomx fejn jaħdem is-server; jimpurtahom jekk il-prefissi protetti humiex aċċessibbli u jekk teżistx triq lura. Poġġi s-server fejn ir-routing huwa l-aktar sempliċi, li normalment ifisser direttament fuq is-segment li jżomm ir-riżorsi. Kompjuter wara r-router għadu jeħtieġ port forwarding, u r-riżorsi fuq dak il-LAN għadhom jeħtieġu rotta lura għas-subnet tat-tunnel.

Ivverifika l-forwarding fuq il-host qabel ma tagħti l-ħtija lill-klijent. sysctl net.ipv4.ip_forward għandu jirrapporta 1, u nft list ruleset jew iptables -S juri jekk l-interface tat-tunnel hix awtorizzata tforwardja xejn. Regola masquerade nieqsa tidher mill-ġenb tal-klijent eżattament bħal tunnel miksur.

Iddeċiedi wkoll x'ma għandux jilħaq it-tunnel. Server imqiegħed fuq ir-router jara kull subnet li dak ir-router jirrouteja, u dan spiss ikun aktar milli beħsieb il-politika tal-aċċess. Fuq host separat l-istess iżolament huwa regola waħda tal-firewall 'il bogħod, u r-raġġ tal-ħsara ta' klijent kompromess huwa iżgħar. Id-deskrizzjoni tal-bieb IPsec fl-RFC 7296 tqis dan bħala kwistjoni ta' routing u politika, mhux ta' hardware, u lanqas waħda miż-żewġ forom mhi aktar sigura b'mod awtomatiku sakemm il-politika ma tinkitibx.

Żomm console tal-irkupru li ma tiddependix mit-tunnel

Il-console li tuża biex issewwi l-VPN ma tistax tkun il-VPN innifsu. Żomm indirizz LAN, console serjali jew console tal-fornitur li taħdem waqt li t-tunnel ikun 'l isfel, u użaha mill-inqas darba qabel ma jkollok bżonnha. Triq barra mill-banda li qatt ma ġiet eżerċitata hija pjan u mhix kapaċità.

Ħu backup tal-konfigurazzjoni f'post li l-host innifsu ma jistax iħassarha. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn jaqbad iċ-ċwievet u d-definizzjonijiet tas-servizzi, u l-kopja trid titlaq mill-magna. Daħħal ir-regoli tal-firewall u l-inventarju tal-klijenti, għax ir-restawr taċ-ċwievet mingħajr il-lista tal-pari jipproduċi server li ħadd ma jista' jingħaqad miegħu. Aħżen l-arkivju fejn il-console tal-irkupru tista' tasal għalih.

Ikteb il-pass tar-rollback fl-istess nota. Bidla fil-konfigurazzjoni mingħajr treġġigħ lura dokumentat hija bidla permanenti, tkun xi tkun l-intenzjoni.

Ivverifika l-għażla b'boot mill-ġdid u aġġornament

Ittestja l-arranġament kif se jfalli, mhux kif jaħdem f'ġurnata tajba. Erġa' ibda l-host, applika aġġornament pendenti, u ikkonferma li t-tunnel jerġa' lura mingħajr passi manwali.

Wara l-boot mill-ġdid, ivverifika t-tliet affarijiet li jinqasmu l-aktar spiss. systemctl is-active wg-quick@wg0 jirrapporta jekk l-interface reġgħetx, ss -lunp juri jekk xi ħaġa qed tisma' fuq il-port, u wg show jelenka pari b'handshake komplut. Servizz attiv mingħajr handshake ifisser li l-firewall jew ir-rotta hija ħażina, mhux id-daemon.

Irrepeti l-verifika minn klijent fuq netwerk differenti minn dak li kkonfigurajt minnu. Jekk it-tunnel jiflaħ għal boot mill-ġdid, aġġornament u bidla fin-netwerk tal-klijent, l-għażla tal-host hija deċiża għalissa. Jekk le, il-biċċa nieqsa normalment hija pass dokumentat u mhux kaxxa oħra.