Czego potrzebujesz, zanim zaczniesz hostować własny serwer VPN?

Instalacja oprogramowania serwera to najkrótsza część samodzielnie hostowanego VPN i właśnie od tego kroku ludzie zaczynają. To, czy wdrożenie działa, zależy od tego, czy klient dotrze do punktu końcowego, co ten klient może osiągnąć później i jak wracasz do środka, gdy tunel jest tym, co się zepsuło. Ustal wszystkie trzy rzeczy, zanim uruchomi się menedżer pakietów.

Dwie z nich to decyzje projektowe, a trzecia to nawyk operacyjny. Wszystkie trzy taniej naprawić na papierze niż podczas awarii.

Zdecyduj, do czego klienci mają docierać

Serwer dostępu zdalnego potrzebuje trasy do sieci prywatnej, którą ogłasza, oraz drogi powrotnej dla odpowiedzi, co czyni go routerem tej sieci, a nie tylko nasłuchiwaczem. Serwer wyjścia do internetu potrzebuje przekierowania oraz układu adresowania lub translacji, a ukończony handshake nie daje ani jednego, ani drugiego. Wybierz zadanie przed topologią, bo oba projekty różnią się trasowaniem, regułami firewalla i tym, co klient wysyła przez tunel. Serwer, od którego wymaga się obu rzeczy, potrzebuje obu zestawów reguł i odpowiedniego podziału domyślnej trasy klienta.

Wybierz zakresy tunelu i LAN, które nie mogą kolidować z sieciami, których twoi klienci już używają, ponieważ laptop, który już ma 192.168.1.0/24, będzie dalej używał tej trasy zamiast tunelu przydzielającego ten sam prefiks. Sprawdź IPv4 i IPv6 osobno, bo wielu robi pierwszy dobrze i nigdy nie zauważa drugiego. Tam, gdzie serwer stoi za innym routerem, potwierdź osiągalność z zewnątrz, zamiast ufać jednemu przekierowaniu portu, że opisze każdą warstwę.

Tożsamości, klucze i droga powrotna

Wydawaj osobną tożsamość na każde urządzenie tam, gdzie oprogramowanie to obsługuje, żeby zgubiony laptop oznaczał odwołanie jednego peera, a nie odbudowę serwera. Klucze prywatne należą do chronionego magazynu i nigdy do profilu wklejonego w wiadomość czatu. Droga odzyskiwania to część, którą ludzie pomijają: dostęp do konsoli, konsola szeregowa albo interfejs zarządzania poza pasmem, który nie zależy od tunelu. Bez niego zła reguła firewalla zamienia małą zmianę w wizytę na miejscu.

Napisz procedurę usuwania równocześnie z procedurą rejestracji. Odwołanie urządzenia to operacja, której prędzej czy później będziesz potrzebować, i łatwiej ją opisać, dopóki konfiguracja jest jeszcze świeża.

Punkt końcowy w domu czy wynajęty?

Trzy warunki decydują między hostowaniem w domu a wynajmem małej instancji. Pierwszy to czy połączenia przychodzące w ogóle docierają do twojej sieci, bo przetłumaczony uplink na poziomie operatora lub restrykcyjna sieć budynku wykluczają tę opcję. Drugi to, czy wyjście musi pojawić się gdzieś indziej niż w twoim mieście, bo zmienia to tylko wynajęty punkt końcowy. Trzeci to apetyt na drugą relację zaufania, bo dostawca hostingu wchodzi do modelu i może obserwować punkt końcowy nawet wtedy, gdy nie potrafi czytać ruchu.

Jeśli pierwszy warunek jest spełniony, a drugi nieistotny, hostowanie w domu jest krótszą drogą. Wynajęty punkt końcowy kupuje lokalizację i dostępność, a nie prywatność samą w sobie.

Udowodnij to jednym klientem i restartem

Podnieś jednego klienta, potwierdź zasób, do którego ma dotrzeć, i potwierdź, że przestaje docierać do tego, do czego nie powinien. Polecenia poniżej pokazują stan peerów, trasy zainstalowane przez serwer i to, czy przekierowanie jest włączone. Uruchom je, zanim zarejestrujesz kogokolwiek innego.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Peer z niedawnym handshakiem jest połączony, podczas gdy peer bez handshake nigdy nie negocjował, i to są różne usterki. Wyłączone przekierowanie wyjaśnia tunel, który się podnosi i nic nie przenosi, więc sprawdź serwer, zanim obwinisz klienta. Brak nasłuchiwacza oznacza, że usługa nie wystartowała z konfiguracją, którą uważasz za właściwą. Potem celowo zrestartuj serwer i powtórz cały zestaw, bo tunel działający tylko do restartu jest częstym wynikiem testowania szczęśliwej ścieżki.

Zapisz punkt końcowy, peery, zakresy i metodę odzyskiwania na jednej stronie. Ta strona to runbook, który przeczytasz w najmniej dogodnym momencie.