Ruter eller eigen datamaskin som VPN-tenar: slik vel du

Både ein ruter og ein liten datamaskin kan avslutte ein VPN, og avgjerda heng sjeldan på gjennomstrøyminga. Ho heng på kven som legg inn oppdateringa klokka to om natta, kva anna som stoppar når den boksen startar på nytt, og om du framleis kjem til ein konsoll når det er tunnelen som har ryke. Svar på dei tre spørsmåla for kvar kandidat, og valet tek seg ofte sjølv. Framgangsmåten nedanfor gjer samanlikninga om til ei kort liste over ting du kan sjekke før du bind deg.

Byrja med det som må stå oppe når tunnelen sviktar

Svakheita du må dimensjonere for, er den der VPN-prosessen døyr og du likevel må nå verten. På ein ruter deler tunnelen og internett-porten skjebne: éi dårleg konfigurasjonsendring kan ta begge ned, og vegen tilbake er ofte ein fysisk nullstilling. På ein eigen datamaskin held porten fram med å verke, og verten er framleis tilgjengeleg over LAN-et. Kva av desse utfalla du toler avgjer meir enn noka funksjonsliste.

Skriv svaret som ei setning: om VPN-verten startar på nytt, kva mistar husstanden eller kontoret? Om svaret omfattar all internettilgang, har du godteke eit delt feildomene, og det bør du seie med vilje i staden for å oppdage det seinare.

Ein annan teneste på same eining er ikkje ein reservekonsoll. Han deler straumforsyninga, fastvaren og administrator-kontoen.

Tel vedlikeholdsflatene kvar vert legg til

Ein ruter kjem med fastvaren til leverandøren med sin eigen utgivingsrytme, og VPN-funksjonen er vanlegvis ein modul inne i eit mykje større bilete. Ei datamaskin kjem med eit operativsystem, ein pakkehandsamar, ein kjerne og eit sett tenester du no eig. Begge treng oppdateringar, og det eigentlege spørsmålet er kva rytme du held når nyheita har lagt seg.

På ein Linux-vert gjer du den rytmen synleg i staden for å håpe på han. systemctl list-timers viser dei planlagde jobbane, og apt list --upgradable viser kva som ventar. Noter kva oppdateringar som krev omstart, for ein VPN-vert som startar på nytt er eit avbrot med mindre du har planlagt det. Ein ruter utan automatisk oppdateringsveg treng i staden ein kalenderpost, som er ein svakare kontroll, men ein ærleg ein.

Tel kontoane òg. Kvar ekstra administratorinnlogging på VPN-verten er nok ein legitimasjon å rotere og nok ein veg å tilbakekalle.

Følg vegen i det private nettet, ikkje etiketten på boksen

Klientane bryr seg ikkje om kvar tenaren køyrer; dei bryr seg om dei verna prefiksa er nåbare og om det finst ein returveg. Set tenaren der rutinga er enklast, som vanlegvis tyder direkte på segmentet som held ressursane. Ei datamaskin bak ruteren treng framleis portvidarekopling, og ressursane på det LAN-et treng framleis ei rute tilbake til subnettet til tunnelen.

Sjekk vidarekoplinga på verten før du gjev klienten skulda. sysctl net.ipv4.ip_forward skal rapportere 1, og nft list ruleset eller iptables -S viser om tunnelgrensesnittet i det heile får vidarekople. Ein manglande masquerade-regel ser frå klientsida nøyaktig ut som ein øydelagd tunnel.

Avgjer òg kva tunnelen ikkje skal nå. Ein tenar plassert på ruteren ser kvart subnett den ruteren rutar, og det er ofte meir enn tilgangspolitikken har tenkt. På ein eigen vert er den same isolasjonen éi brannmurregel unna, og skaderadiusen frå ein kompromittert klient er mindre. Skildringa av IPsec-porten i RFC 7296 behandlar dette som eit rute- og policyspørsmål, ikkje eit maskinvarespørsmål, og ingen av formene er tryggare som standard før policyen er skriven ned.

Hald ein gjenopprettingskonsoll som ikkje er avhengig av tunnelen

Konsollen du brukar for å reparere VPN-en, kan ikkje vere VPN-en sjølv. Hald ein LAN-adresse, ein seriell konsoll eller ein leverandørkonsoll som verkar medan tunnelen er nede, og bruk han minst éin gong før du treng han. Ein veg utanfor bandet som aldri er øvd på, er ein plan og ikkje ei evne.

Ta tryggingskopi av konfigurasjonen på ein stad verten sjølv ikkje kan slette han. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn fangar nøklane og tenestedefinisjonane, og kopien må forlate maskinen. Ta med brannmurreglane og klientoversikta, fordi gjenoppretting av nøklar utan peer-lista gjev ein tenar ingen kan bli med på. Oppbevar arkivet der gjenopprettingskonsollen kan nå det.

Skriv tilbakeføringstrinnet i same notatet. Ei konfigurasjonsendring utan dokumentert tilbakeføring er ei varig endring, same kva hensikta var.

Stadfest valet med ein omstart og ei oppdatering

Test oppsettet slik det vil svikte, ikkje slik det verkar på ein god dag. Start verten på nytt, bruk ei ventande oppdatering, og stadfest at tunnelen kjem tilbake utan manuelle trinn.

Etter omstarten, sjekk dei tre tinga som oftast ryker. systemctl is-active wg-quick@wg0 rapporterer om grensesnittet kom tilbake, ss -lunp viser om noko lyttar på porten, og wg show listar ein peer med fullført handtrykk. Ein teneste som er aktiv utan handtrykk tyder på at brannmuren eller ruta er feil, ikkje daemonen.

Gjenta sjekken frå ein klient på eit anna nett enn det du konfigurerte frå. Om tunnelen overlever ein omstart, ei oppdatering og eit byte av klientnett, er vertsvalet avgjort for no. Om ikkje, er den manglande biten vanlegvis eit dokumentert trinn og ikkje ein annan boks.