X'għandek bżonn qabel ma tospita s-server VPN tiegħek stess?

L-installazzjoni tas-software tas-server hija l-iqsar parti ta' VPN ospitat minnek stess, u huwa l-pass li n-nies jibdew bih. Jekk id-deployment jaħdimx jiddependi minn jekk klijent jistax jilħaq l-endpoint, x'jista' jilħaq dak il-klijent wara, u kif terġa' tidħol meta t-tunnel huwa dak li nkiser. Issettja t-tlieta qabel ma jidħol il-pakket manager.

Tnejn minnhom huma deċiżjonijiet tad-disinn u t-tielet hija drawwa operattiva. It-tlieta huma orħos biex tissewwa fuq il-karta milli waqt waqfa.

Iddeċiedi x'għandhom jilħqu l-klijenti

Server ta' aċċess mill-bogħod għandu bżonn rotta lejn in-netwerk privat li jħabbar u triq lura għat-tweġibiet, li tagħmel minnu router għal dak in-netwerk u mhux biss semmiegħ. Server ta' ħruġ lejn l-internet għandu bżonn forwarding flimkien ma' arranġament ta' indirizzar jew traduzzjoni, u handshake komplet ma jipprovdix l-ebda waħda minnhom. Agħżel ix-xogħol qabel it-topoloġija, għax iż-żewġ disinni jiddifferixxu fir-routing, fir-regoli tal-firewall u f'dak li l-klijent jibgħat mit-tunnel. Server li jintalab jagħmel it-tnejn għandu bżonn iż-żewġ settijiet ta' regoli u qsim konsistenti tar-rotta default tal-klijent.

Agħżel firxiet ta' tunnel u LAN li ma jistgħux jaħbtu ma' netwerks li l-klijenti tiegħek diġà jużaw, għax laptop li diġà għandu 192.168.1.0/24 se jkompli juża dik ir-rotta minflok tunnel li jqassam l-istess prefiss. Iċċekkja IPv4 u IPv6 separatament, għax ħafna jieħdu l-ewwel wieħed sew u qatt ma jinnotaw it-tieni. Fejn is-server qiegħed wara router ieħor, ikkonferma l-aċċessibilità deħlin minn barra minflok ma tafda port-forward wieħed biex jiddeskrivi kull saff.

Identitajiet, ċwievet u triq lura

Oħroġ identità separata għal kull apparat fejn is-software jappoġġja dan, sabiex laptop mitluf ifisser li tirtira peer wieħed minflok ma tibni mill-ġdid is-server. Iċ-ċwievet privati jiffittu f'ħażna protetta u qatt fi profil imwaħħal f'messaġġ ta' chat. It-triq tal-irkupru hija l-parti li n-nies jaqbżu: aċċess għall-console, console serjali jew interface ta' ġestjoni out-of-band li ma tiddependix mit-tunnel. Mingħajr waħda, regola ħażina tal-firewall tbiddel bidla żgħira f'żjara fuq il-post.

Ikteb il-proċedura tat-tneħħija fl-istess ħin tal-proċedura tar-reġistrazzjoni. L-irtirar ta' apparat hija operazzjoni li fl-aħħar mill-aħħar se jkollok bżonnha, u hija iktar faċli tiddeskriviha waqt li l-konfigurazzjoni għadha friska.

Endpoint fid-dar jew mikri?

Tliet kundizzjonijiet jiddeċiedu bejn l-ospitar fid-dar u l-kiri ta' istanza żgħira. L-ewwel waħda hija jekk konnessjonijiet deħlin jistgħux jilħqu n-netwerk tiegħek, għax uplink tradott ta' livell tal-operatur jew netwerk ta' bini restrittiv ineħħi l-għażla. It-tieni hija jekk il-ħruġ għandux jidher barra mill-belt tiegħek, għax endpoint mikri biss ibiddel dan. It-tielet hija x-xewqa għal tieni relazzjoni ta' fiduċja, għax fornitur tal-hosting jidħol fil-mudell u jista' josserva l-endpoint anki meta ma jistax jaqra t-traffiku.

Jekk l-ewwel kundizzjoni tgħaddi u t-tieni mhijiex rilevanti, l-ospitar fid-dar huwa t-triq l-iqsar. Endpoint mikri jixtri post u disponibilità mhux privatezza waħdu.

Ipprovah b'klijent wieħed u restart

Ġib klijent wieħed, ikkonferma r-riżorsa li għandu jilħaq, u kkonferma li jieqaf jilħaq dak li m'għandux. Il-kmandi hawn taħt juru l-istat tal-peers, ir-rotot li s-server installa, u jekk il-forwarding huwiex attivat. Mexxihom qabel ma tirreġistra xi ħadd ieħor.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Peer b'handshake reċenti huwa konness, filwaqt li peer mingħajr handshake qatt ma nnegozja, u dawk huma fallimenti differenti. Forwarding itfi jispjega tunnel li jiġi 'l fuq u ma jġorr xejn, għalhekk iċċekkja s-server qabel ma tagħti l-ħtija lill-klijent. Semmiegħ nieqes ifisser li s-servizz ma bediex bil-konfigurazzjoni li taħseb int. Imbagħad erġa' ibda s-server b'mod intenzjonat u rrepeti s-sett kollu, għax tunnel li jaħdem biss sa restart huwa riżultat komuni tal-ittestjar tat-triq ferħana.

Irreġistra l-endpoint, il-peers, il-firxiet u l-metodu tal-irkupru fuq paġna waħda. Dik il-paġna hija l-runbook li se taqra fl-inqas mument konvenjenti.