Kva treng du før du hostar din eigen VPN-tenar?

Å installere tenarprogramvara er den kortaste delen av ein sjølvhosta VPN, og det er steget folk byrjar med. Om utrullinga verkar, kjem an på om ein klient når endepunktet, kva den klienten får nå etterpå, og korleis du kjem inn att når det er tunnelen som har svikta. Avklar alle tre før pakkehandsamaren køyrer.

To av dei er designval, og den tredje er ein driftsvane. Alle tre er billegare å rette på papiret enn under ein driftsstans.

Avgjer kva klientane skal nå

Ein fjernåtkomsttenar treng ei rute til det private nettet han annonserer og ein returveg for svara, noko som gjer han til ein rutar for det nettet og ikkje berre ein lyttar. Ein internett-utgangstenar treng videresending pluss ei ordning for adressering eller omsetjing, og eit fullført handtrykk gjev ingen av delane. Vel oppgåva før topologien, fordi dei to designa skil seg i ruting, brannmurreglar og i kva klienten sender gjennom tunnelen. Ein tenar som vert beden om begge, treng begge regelsetta og ei høveleg splitting av standardruta til klienten.

Vel tunnel- og LAN-område som ikkje kan kollidere med nett som klientane dine alt brukar, sidan ein berbar PC som alt har 192.168.1.0/24 vil halde fram med å bruke den ruta i staden for ein tunnel som deler ut same prefikset. Sjekk IPv4 og IPv6 kvar for seg, fordi mange får den første rett og oppdagar aldri den andre. Der tenaren står bak ein annan rutar, stadfest innkomande tilgjenge utanfrå i staden for å stole på éi portvideresending til å skildre kvart lag.

Identitetar, nøklar og ein veg tilbake inn

Utferd ein eigen identitet per eining der programvara støttar det, slik at ein tapt berbar PC tyder å kalle attende ein peer i staden for å byggje tenaren på nytt. Private nøklar høyrer i verna lagring og aldri i ein profil som vert lima inn i ei chatmelding. Gjenopprettingsvegen er den delen folk hoppar over: konsolltilgang, ein seriell konsoll eller eit administrasjonsgrensesnitt utanfor bandet som ikkje er avhengig av tunnelen. Utan han gjer ein dårleg brannmurregel ei lita endring om til eit vitjing på staden.

Skriv fjerningsprosedyren samstundes som påmeldingsprosedyren. Å kalle attende ei eining er ein operasjon du før eller sidan treng, og han er lettare å skildre medan oppsettet ennå er ferskt.

Endepunkt heime eller leigd?

Tre vilkår avgjer mellom å hoste heime og å leige ein liten instans. Det første er om innkomande samband i det heile når nettet ditt, sidan ein carrier-grade-omsett opplenkje eller eit restriktivt byggnett fjernar høvet. Det andre er om utgangen må visast ein annan stad enn i din eigen by, fordi berre eit leigd endepunkt endrar det. Det tredje er lyst på eit ekstra tillitshøve, sidan ein hostingleverandør vert ein del av modellen og kan observere endepunktet sjølv når han ikkje kan lese trafikken.

Viss det første vilkåret er oppfylt og det andre er irrelevant, er hosting heime den kortaste vegen. Eit leigd endepunkt kjøper plassering og tilgjenge snarare enn personvern i seg sjølv.

Prov det med ein klient og ein omstart

Start éin klient, stadfest at han når ressursen han skal nå, og stadfest at han sluttar å nå det han ikkje skal. Kommandoane nedanfor viser peer-status, rutene tenaren installerte, og om videresending er slått på. Køyr dei før du melder på nokon andre.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Ein peer med eit ferskt handtrykk er tilkopla, medan ein peer utan handtrykk aldri forhandla, og det er ulike feil. Slått av videresending forklarer ein tunnel som kjem opp og ikkje ber noko, så sjekk tenaren før du gjev klienten skulda. Ein manglande lyttar tyder at tenesta ikkje starta med konfigurasjonen du trur. Start så tenaren medvite på nytt og repeter heile settet, fordi ein tunnel som berre verkar til omstart er eit vanleg resultat av å teste den lukkelege vegen.

Skriv ned endepunktet, peerane, områda og gjenopprettingsmetoden på éi side. Den sida er runboka du les på det minst høvelege tidspunktet.