Router czy osobny komputer jako serwer VPN: jak wybrać

Zarówno router, jak i mały komputer mogą zakończyć VPN, a decyzja rzadko zależy od przepustowości. Zależy od tego, kto stosuje aktualizację o drugiej w nocy, co jeszcze się zatrzymuje, gdy to pudełko się restartuje, i czy nadal można dostać się do konsoli, gdy zepsuł się właśnie tunel. Odpowiedz na te trzy pytania dla każdego kandydata, a wybór zwykle dokonuje się sam. Poniższa procedura zamienia porównanie w krótką listę rzeczy, które można sprawdzić przed zobowiązaniem się.

Zacznij od tego, co musi pozostać w działaniu, gdy tunel zawiedzie

Awaria, na którą trzeba projektować, to ta, w której proces VPN umiera, a mimo to musisz dotrzeć do hosta. Na routerze tunel i brama internetowa dzielą los: jedna zła zmiana konfiguracji może położyć oba, a droga powrotu to często fizyczny reset. Na osobnym komputerze brama nadal działa, a host jest wciąż dostępny przez LAN. Który z tych wyników możesz znieść, decyduje o więcej niż jakakolwiek lista funkcji.

Zapisz odpowiedź w jednym zdaniu: jeśli host VPN się restartuje, co traci gospodarstwo domowe lub biuro? Jeśli odpowiedź obejmuje cały dostęp do internetu, zaakceptowałeś wspólną domenę awarii i powinieneś powiedzieć to świadomie, zamiast odkrywać to później.

Druga usługa na tym samym urządzeniu nie jest konsolą zapasową. Dzieli zasilanie, firmware i konto administratora.

Policz powierzchnie utrzymania, które dodaje każdy host

Router przynosi firmware producenta z własnym rytmem wydań, a funkcja VPN to zwykle jeden moduł wewnątrz znacznie większego obrazu. Komputer przynosi system operacyjny, menedżer pakietów, jądro i zestaw usług, które teraz należą do ciebie. Oba wymagają łatek, a prawdziwym pytaniem jest to, jaki rytm utrzymasz, gdy nowość przeminie.

Na hoście z Linuksem uczyń ten rytm widocznym, zamiast na niego liczyć. systemctl list-timers pokazuje zaplanowane zadania, a apt list --upgradable pokazuje, co czeka. Zapisz, które aktualizacje wymagają restartu, bo restartujący się host VPN to przerwa, chyba że ją zaplanowałeś. Router bez automatycznej ścieżki aktualizacji potrzebuje zamiast tego wpisu w kalendarzu, co jest słabszą kontrolą, ale uczciwą.

Policz też konta. Każde dodatkowe logowanie administratora na hoście VPN to kolejny sekret do rotacji i kolejna ścieżka do odebrania.

Śledź ścieżkę sieci prywatnej, a nie etykietę na pudełku

Klientów nie obchodzi, gdzie działa serwer; obchodzi ich, czy chronione prefiksy są osiągalne i czy istnieje droga powrotna. Umieść serwer tam, gdzie routing jest najprostszy, co zwykle oznacza bezpośrednio na segmencie, który trzyma zasoby. Komputer za routerem nadal potrzebuje przekierowania portu, a zasoby w tej sieci LAN nadal potrzebują trasy powrotnej do podsieci tunelu.

Sprawdź przekierowywanie na hoście, zanim obwinisz klienta. sysctl net.ipv4.ip_forward powinien zgłosić 1, a nft list ruleset lub iptables -S pokazuje, czy interfejs tunelu w ogóle może przekazywać. Brakująca reguła masquerade wygląda od strony klienta dokładnie jak zepsuty tunel.

Zdecyduj też, czego tunel nie może osiągać. Serwer umieszczony na routerze widzi każdą podsieć, którą ten router trasuje, a to często więcej, niż zakłada polityka dostępu. Na osobnym hoście ta sama izolacja jest o jedną regułę zapory dalej, a promień szkód od przejętego klienta jest mniejszy. Opis bramy IPsec w RFC 7296 traktuje to jako kwestię trasowania i polityki, a nie sprzętu, i żadna z form nie jest domyślnie bezpieczniejsza, dopóki polityka nie jest zapisana.

Trzymaj konsolę odzyskiwania, która nie zależy od tunelu

Konsola, której używasz do naprawy VPN, nie może być samym VPN. Trzymaj adres LAN, konsolę szeregową lub konsolę dostawcy, która działa, gdy tunel leży, i użyj jej co najmniej raz, zanim będzie potrzebna. Ścieżka poza pasmem, której nigdy nie ćwiczono, jest planem, a nie zdolnością.

Zrób kopię konfiguracji w miejscu, którego sam host nie może usunąć. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn przechwytuje klucze i definicje usług, a kopia musi opuścić maszynę. Dołącz reguły zapory i spis klientów, bo odtworzenie kluczy bez listy peerów daje serwer, do którego nikt nie może dołączyć. Przechowuj archiwum tam, gdzie konsola odzyskiwania może je osiągnąć.

Zapisz krok wycofania w tej samej notatce. Zmiana konfiguracji bez udokumentowanego wycofania jest zmianą trwałą, niezależnie od intencji.

Zweryfikuj wybór restartem i aktualizacją

Przetestuj układ tak, jak zawiedzie, a nie tak, jak działa w dobry dzień. Zrestartuj hosta, zastosuj oczekującą aktualizację i potwierdź, że tunel wraca bez ręcznych kroków.

Po restarcie sprawdź trzy rzeczy, które psują się najczęściej. systemctl is-active wg-quick@wg0 zgłasza, czy interfejs wrócił, ss -lunp pokazuje, czy coś nasłuchuje na porcie, a wg show wymienia peera z ukończonym uściskiem dłoni. Usługa aktywna bez uścisku dłoni oznacza, że zła jest zapora lub trasa, a nie demon.

Powtórz sprawdzenie z klienta w innej sieci niż ta, z której konfigurowałeś. Jeśli tunel przetrwa restart, aktualizację i zmianę sieci klienta, wybór hosta jest na razie rozstrzygnięty. Jeśli nie, brakującym elementem jest zwykle udokumentowany krok, a nie inne pudełko.