X'inhu meħtieġ li VPS jippermetti qabel ma jista' jospita l-VPN tiegħek

L-istanza tibda, l-installazzjonijiet tal-pakketti jirnexxu, u s-servizz saħansitra jirrapporta stat ta' ħidma, iżda xejn ma jgħaqqad. Dan il-mudell huwa komuni fuq servers privati virtwali, għax mistieden li jasal għall-internet bil-kwiet xorta jista' ma jkunx jista' joħloq l-interface li trid il-protokoll tiegħek. Ħames verifiki jifirdu bejn host li jista' jservi tunnel u wieħed li jidher biss lest, u l-ewwel verifika li tfalli normalment tispjega kollox waraha. Kull waħda rħisa biex titħaddem u tintemm b'deċiżjoni, mhux b'nota.

Ikkonferma l-interface li teħtieġ il-protokoll

OpenVPN fuq TUN teħtieġ it-tagħmir tal-karattri u l-modulu tal-kernel warajh; WireGuard teħtieġ l-appoġġ tal-kernel tiegħu stess jew implimentazzjoni fl-ispazju tal-utent b'aspettattivi li jaqblu. Il-kontenituri ġestiti jistgħu jaqsmu kernel tal-host li qatt ma jesponi t-tagħmir, u xi pjattaformi jipprojbixxu għal kollox il-ħolqien ta' interfaces tat-tunnel, tkun xi tkun installata.

Ittestja l-kapaċità minflok taqra paġna tal-appoġġ, għax it-tikketti tal-marketing jinbidlu aktar malajr mil-limiti ta' taħt. Lista ta' karatteristiċi miktuba għal pjan wieħed tista' ma tiddeskrivix il-kernel li fuqu l-mistieden fil-fatt jaħdem. Żewġ kmandi qosra jwieġbu l-mistoqsija għall-protokolli użati b'mod komuni, u t-tnejn jaddottaw warajhom. Il-kmandi hawn taħt ma joħolqu xejn permanenti u jitneħħew minnufih.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Ċaħda fuq l-ewwel par tfisser li TUN mhuwiex disponibbli u l-mod default ta' OpenVPN ma jistax jibda; ċaħda fl-aħħar linja tfisser li l-interface tal-kernel ta' WireGuard hija nieqsa. Id-dokumentazzjoni tal-kernel dwar TUN/TAP tiddeskrivi t-tagħmir li teżerċita l-ewwel verifika. L-ebda waħda miż-żewġ fallimenti ma tiġi msewwija billi jerġa' jiġi installat il-pakkett VPN.

Ftakar li t-triq tad-dħul għandha żewġ sidien

Ir-regoli tan-netwerk tal-fornitur u l-firewall tal-mistieden huma sistemi separati, u t-traffiku jrid jgħaddi minn tnejn. Dak li jisma' marbut fuq il-mistieden ma jfisser xejn jekk il-grupp tas-sigurtà tal-fornitur jitfa' l-port, u regola miftuħa tal-fornitur ma tagħmel xejn jekk il-mistieden jirrifjuta l-pakkett. Ivverifika min jisma', imbagħad ir-regoli tal-mistieden, imbagħad il-panel tal-fornitur, f'dan l-ordni, u kkonferma kemm il-protokoll kif ukoll in-numru tal-port. Li taqbeż direttament għall-panel tal-fornitur huwa kif in-nies jispiċċaw jiftħu firxa li ma kellhomx bżonnha.

UDP huwa l-vittma tas-soltu: ħafna pjattaformi jippermettu TCP b'mod default u jittrattaw ir-regoli UDP bħala entrata separata. Jekk l-istanza tinsab wara n-NAT tal-fornitur minflok ma għandha indirizz pubbliku, l-indirizzar tal-ports 'il quddiem fuq in-naħa tal-fornitur isir it-tielet konfigurazzjoni li trid tiġi rrikonċiljata.

Ippjana t-triq lura, mhux biss il-ħruġ

Is-servizz tat-tunnel sħiħ jeħtieġ l-indirizzar 'il quddiem attivat, skema ta' traduzzjoni jew routing għat-traffiku tal-klijenti, u triq lura li tasal għall-grupp tal-klijenti. Il-ftuħ ta' dak li jisma' ma jipprovdi xejn minn dawn. Tunnel li jiġi stabbilit imma ma jġorrx traffiku utli normalment ifalli hawn, mhux fl-awtentikazzjoni. Ittratta handshake b'suċċess bħala l-bidu tad-dijanjosi, mhux it-tmiem tagħha.

Ikteb il-pjan bħala tliet deċiżjonijiet konkreti: liema firxa tas-sors jirċievu l-klijenti, kif it-traffiku tagħhom joħroġ lejn l-internet, u kif it-tweġibiet isibu triqthom lura. Imbagħad ikkonferma li l-kernel jaqbel mal-pjan qabel ma tittestja klijent, sabiex nuqqas ta' qbil sieket ma jiġix meħud bħala ħsara fuq in-naħa tal-klijent.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Iddeċiedi dwar IPv6 b'mod espliċitu

IPv6 jiġi permezz ta' diversi mekkaniżmi li jġibu ruħhom differenti għal gateway: indirizz fuq l-istanza, prefiss irrotutat, jew xejn. Huma biss prefiss irrotutat li jippermetti lis-server jagħti indirizzi lill-klijenti bil-mod tas-soltu. Is-suppożizzjoni li indirizz IPv6 li jaħdem fuq il-host ifisser prefiss tal-klijent użabbli hija żball li jidher aktar tard bħala konnettività nofsha miksura. Dan huwa t-tip ta' ħsara li tibqa' tgħaddi minn kull test li jsir biss b'IPv4.

Jekk il-fornitur ma jirrotutax ebda prefiss, iddeċiedi jekk it-tunnel huwiex biss IPv4 u jekk il-klijenti għandhomx jiġu mgħarrfa. Assenza dokumentata hija aktar sigura minn konfigurazzjoni parzjali li tibgħat b'mod sieket id-destinazzjonijiet IPv6 f'toqba sewda għall-utenti konnessi.

Ipprovah minn klijent estern

L-istat tas-servizz lokali jiddeskrivi proċess wieħed fuq host wieħed. It-test utli huwa klijent awtorizzat fuq netwerk ieħor, li jgħaqqad bil-profil li beħsiebek tqassam, imbagħad jasal għal applikazzjoni u jsolvi isem. Erġa' għaqqad darba wkoll, għax tunnel li jaħdem biss fl-ewwel prova ma jissodisfax il-ħtieġa li l-aktar tgħodd fil-prattika.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Żomm l-elementi operattivi maġenb it-test: spazju għall-aġġornamenti, logs limitati, aċċess amministrattiv li ma jiddependix mit-tunnel, console tal-irkupru, u nota dwar x'jiġri mill-profili tal-klijenti meta l-istanza tinbena mill-ġdid u l-indirizz pubbliku tagħha jinbidel. Jekk interface jew mudell ta' indirizzar 'il quddiem meħtieġ sempliċement mhuwiex disponibbli, ebda bidla fuq in-naħa tal-klijent ma tipprovdih, u l-pass onest li jmiss huwa tip differenti ta' istanza, mhux aktar konfigurazzjoni.