Ruter eller egen datamaskin som VPN-server: slik velger du

Både en ruter og en liten datamaskin kan avslutte en VPN, og avgjørelsen henger sjelden på gjennomstrømningen. Den henger på hvem som legger inn oppdateringen klokka to om natta, hva annet som stopper når den boksen starter på nytt, og om du fortsatt kommer til en konsoll når det er tunnelen som har røket. Svar på de tre spørsmålene for hver kandidat, og valget tar seg ofte selv. Fremgangsmåten nedenfor gjør sammenligningen om til en kort liste over ting du kan sjekke før du binder deg.

Begynn med det som må stå oppe når tunnelen svikter

Svakheten du må dimensjonere for, er den der VPN-prosessen dør og du likevel må nå verten. På en ruter deler tunnelen og internett-porten skjebne: én dårlig konfigurasjonsendring kan ta begge ned, og veien tilbake er ofte en fysisk nullstilling. På en egen datamaskin fortsetter porten å virke, og verten er fortsatt tilgjengelig over LAN-et. Hvilket av disse utfallene du tåler avgjør mer enn noen funksjonsliste.

Skriv svaret som en setning: hvis VPN-verten starter på nytt, hva mister husstanden eller kontoret? Hvis svaret omfatter all internettilgang, har du godtatt et delt feildomene, og det bør du si med vilje i stedet for å oppdage det senere.

En annen tjeneste på samme enhet er ikke en reservekonsoll. Den deler strømforsyningen, fastvaren og administrator-kontoen.

Tell vedlikeholdsflatene hver vert legger til

En ruter kommer med leverandørens fastvare med sin egen utgivelsesrytme, og VPN-funksjonen er vanligvis én modul inne i et mye større bilde. En datamaskin kommer med et operativsystem, en pakkebehandler, en kjerne og et sett tjenester du nå eier. Begge trenger oppdateringer, og det egentlige spørsmålet er hvilken rytme du holder når nyheten har lagt seg.

På en Linux-vert gjør du den rytmen synlig i stedet for å håpe på den. systemctl list-timers viser de planlagte jobbene, og apt list --upgradable viser hva som venter. Noter hvilke oppdateringer som krever omstart, for en VPN-vert som starter på nytt er et avbrudd med mindre du har planlagt det. En ruter uten automatisk oppdateringsvei trenger i stedet en kalenderpost, som er en svakere kontroll, men en ærlig en.

Tell kontoene også. Hver ekstra administratorpålogging på VPN-verten er nok en legitimasjon å rotere og nok en vei å tilbakekalle.

Følg veien i det private nettet, ikke etiketten på boksen

Klientene bryr seg ikke om hvor serveren kjører; de bryr seg om de beskyttede prefiksene er nåbare og om det finnes en returvei. Sett serveren der rutingen er enklest, som vanligvis betyr direkte på segmentet som holder ressursene. En datamaskin bak ruteren trenger fortsatt portviderekobling, og ressursene på det LAN-et trenger fortsatt en rute tilbake til tunnelens subnett.

Sjekk viderekoblingen på verten før du gir klienten skylden. sysctl net.ipv4.ip_forward skal rapportere 1, og nft list ruleset eller iptables -S viser om tunnelgrensesnittet i det hele tatt får viderekoble. En manglende masquerade-regel ser fra klientsiden nøyaktig ut som en ødelagt tunnel.

Bestem også hva tunnelen ikke skal nå. En server plassert på ruteren ser hvert subnett den ruteren ruter, og det er ofte mer enn tilgangspolicyen har tenkt. På en egen vert er den samme isolasjonen én brannmurregel unna, og skadradiusen fra en kompromittert klient er mindre. Beskrivelsen av IPsec-porten i RFC 7296 behandler dette som et rute- og policyspørsmål, ikke et maskinvarespørsmål, og ingen av formene er sikrere som standard før policyen er skrevet ned.

Hold en gjenopprettingskonsoll som ikke avhenger av tunnelen

Konsollen du bruker for å reparere VPN-en, kan ikke være VPN-en selv. Hold en LAN-adresse, en seriell konsoll eller en leverandørkonsoll som virker mens tunnelen er nede, og bruk den minst én gang før du trenger den. En vei utenfor båndet som aldri er øvd på, er en plan og ikke en evne.

Ta sikkerhetskopi av konfigurasjonen et sted verten selv ikke kan slette den. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn fanger nøklene og tjenestedefinisjonene, og kopien må forlate maskinen. Ta med brannmurreglene og klientoversikten, fordi gjenoppretting av nøkler uten peer-listen gir en server ingen kan bli med på. Oppbevar arkivet der gjenopprettingskonsollen kan nå det.

Skriv tilbakeføringstrinnet i samme notat. En konfigurasjonsendring uten dokumentert tilbakeføring er en varig endring, uansett hensikt.

Bekreft valget med en omstart og en oppdatering

Test oppsettet slik det vil svikte, ikke slik det virker på en god dag. Start verten på nytt, bruk en ventende oppdatering, og bekreft at tunnelen kommer tilbake uten manuelle trinn.

Etter omstarten, sjekk de tre tingene som oftest ryker. systemctl is-active wg-quick@wg0 rapporterer om grensesnittet kom tilbake, ss -lunp viser om noe lytter på porten, og wg show lister en peer med fullført håndtrykk. En tjeneste som er aktiv uten håndtrykk betyr at brannmuren eller ruten er feil, ikke daemonen.

Gjenta sjekken fra en klient på et annet nett enn det du konfigurerte fra. Hvis tunnelen overlever en omstart, en oppdatering og et bytte av klientnett, er vertsvalget avgjort for nå. Hvis ikke, er den manglende biten vanligvis et dokumentert trinn og ikke en annen boks.