Ce îți trebuie înainte de a găzdui propriul server VPN?

Instalarea software-ului de server este cea mai scurtă parte a unei VPN auto-găzduite, și este pasul cu care oamenii încep. Dacă implementarea funcționează depinde de faptul că un client poate ajunge la punctul final, de ce poate ajunge acel client după aceea și de modul în care intri din nou când tunelul este exact ceea ce s-a stricat. Rezolvă toate trei înainte ca managerul de pachete să ruleze.

Două dintre ele sunt decizii de proiectare, iar a treia este un obicei operațional. Toate trei sunt mai ieftin de corectat pe hârtie decât în timpul unei căderi.

Decide ce trebuie să atingă clienții

Un server de acces de la distanță are nevoie de o rută către rețeaua privată pe care o anunță și de o cale de întoarcere pentru răspunsuri, ceea ce îl face un router pentru acea rețea și nu doar un ascultător. Un server de ieșire către internet are nevoie de redirecționare plus un aranjament de adresare sau de traducere, iar un handshake finalizat nu oferă niciuna dintre ele. Alege sarcina înainte de topologie, deoarece cele două proiecte diferă la rutare, la regulile de firewall și la ce trimite clientul prin tunel. Un server căruia i se cer ambele are nevoie de ambele seturi de reguli și de o împărțire consecventă a rutei implicite a clientului.

Alege intervale de tunel și de LAN care nu pot intra în conflict cu rețele pe care clienții tăi le folosesc deja, deoarece un laptop care deține deja 192.168.1.0/24 va continua să folosească acea rută în locul unui tunel care distribuie același prefix. Verifică IPv4 și IPv6 separat, pentru că mulți îl nimeresc pe primul și nu îl observă niciodată pe al doilea. Acolo unde serverul stă în spatele altui router, confirmă accesibilitatea din exterior în loc să te bazezi pe o singură redirecționare de port care să descrie fiecare strat.

Identități, chei și o cale de întoarcere

Emite o identitate separată pentru fiecare dispozitiv acolo unde software-ul permite, astfel încât un laptop pierdut să însemne revocarea unui singur peer în loc de reconstruirea serverului. Cheile private stau în spațiu de stocare protejat și niciodată într-un profil lipit într-un mesaj de chat. Calea de recuperare este partea pe care oamenii o sar: acces la consolă, o consolă serială sau o interfață de administrare out-of-band care nu depinde de tunel. Fără una, o regulă de firewall proastă transformă o modificare mică într-o vizită la fața locului.

Scrie procedura de eliminare în același timp cu procedura de înrolare. Revocarea unui dispozitiv este o operațiune de care vei avea nevoie în cele din urmă, și este mai ușor de descris cât timp configurarea este încă proaspătă.

Punct final acasă sau închiriat?

Trei condiții decid între găzduirea acasă și închirierea unei instanțe mici. Prima este dacă conexiunile de intrare pot ajunge la rețeaua ta, deoarece un uplink tradus la nivel de operator sau o rețea de clădire restrictivă elimină opțiunea. A doua este dacă ieșirea trebuie să apară în alt loc decât în propriul oraș, pentru că doar un punct final închiriat schimbă asta. A treia este apetitul pentru o a doua relație de încredere, deoarece un furnizor de găzduire intră în model și poate observa punctul final chiar când nu poate citi traficul.

Dacă prima condiție este îndeplinită și a doua este irelevantă, găzduirea acasă este calea mai scurtă. Un punct final închiriat cumpără locație și disponibilitate, nu confidențialitate în sine.

Demonstrează cu un client și o repornire

Pornește un client, confirmă resursa la care trebuie să ajungă și confirmă că nu mai ajunge la ce nu ar trebui. Comenzile de mai jos arată starea peerilor, rutele instalate de server și dacă redirecționarea este activată. Rulează-le înainte de a înrola pe altcineva.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Un peer cu un handshake recent este conectat, în timp ce un peer fără handshake nu a negociat niciodată, iar acestea sunt defecțiuni diferite. Redirecționarea dezactivată explică un tunel care se ridică și nu transportă nimic, așa că verifică serverul înainte de a da vina pe client. Un ascultător lipsă înseamnă că serviciul nu a pornit cu configurația la care te gândești. Apoi repornește serverul intenționat și repetă întregul set, pentru că un tunel care funcționează doar până la repornire este un rezultat obișnuit al testării căii fericite.

Notează punctul final, peerii, intervalele și metoda de recuperare pe o singură pagină. Acea pagină este runbook-ul pe care îl vei citi în cel mai nepotrivit moment.