Маршрутизатор или отдельный компьютер как ваш VPN-сервер: как выбрать

И маршрутизатор, и небольшой компьютер могут завершать VPN, и решение редко зависит от пропускной способности. Оно зависит от того, кто применяет обновление в два часа ночи, что ещё останавливается при перезагрузке этой коробки и можно ли ещё добраться до консоли, когда сломался сам туннель. Ответьте на эти три вопроса для каждого кандидата, и выбор обычно делается сам. Приведённая ниже процедура превращает сравнение в короткий список того, что можно проверить до обязательства.

Начните с того, что должно оставаться в работе, когда туннель отказывает

Отказ, под который нужно проектировать, — это тот, когда процесс VPN умирает, а вам всё равно нужно добраться до хоста. На маршрутизаторе туннель и интернет-шлюз делят одну судьбу: одно неудачное изменение конфигурации может уронить оба, а путь восстановления часто физический сброс. На отдельном компьютере шлюз продолжает работать, а хост по-прежнему доступен через LAN. Какой из этих исходов вы можете терпеть, решает больше, чем любой список функций.

Запишите ответ одним предложением: если VPN-хост перезагрузится, что теряет дом или офис? Если ответ включает весь доступ в интернет, вы приняли общий домен отказа и должны сказать это намеренно, а не обнаружить позже.

Вторая служба на том же устройстве — не резервная консоль. Она делит блок питания, прошивку и учётную запись администратора.

Посчитайте поверхности обслуживания, которые добавляет каждый хост

Маршрутизатор приносит прошивку производителя с собственным ритмом выпусков, а функция VPN обычно один модуль внутри куда большего образа. Компьютер приносит операционную систему, менеджер пакетов, ядро и набор служб, которые теперь принадлежат вам. Обоим нужны заплатки, и настоящий вопрос в том, какой ритм вы выдержите, когда новизна схлынет.

На хосте с Linux сделайте этот ритм видимым вместо того, чтобы надеяться на него. systemctl list-timers показывает запланированные задачи, а apt list --upgradable показывает, что ждёт. Отмечайте, какие обновления требуют перезагрузки, потому что перезагружающийся VPN-хост — это простой, если вы его не планировали. Маршрутизатору без автоматического пути обновлений вместо этого нужна запись в календаре, что является более слабым контролем, но честным.

Посчитайте и учётные записи. Каждый дополнительный вход администратора на VPN-хосте — это ещё один секрет для ротации и ещё один путь для отзыва.

Следите за путём в частной сети, а не за наклейкой на коробке

Клиентам не важно, где работает сервер; им важно, доступны ли защищённые префиксы и есть ли обратный путь. Поставьте сервер туда, где маршрутизация проще всего, а это обычно означает непосредственно на сегменте, который держит ресурсы. Компьютеру за маршрутизатором всё равно нужно перенаправление порта, а ресурсам в этой LAN всё равно нужен маршрут обратно в подсеть туннеля.

Проверьте перенаправление на хосте, прежде чем винить клиента. sysctl net.ipv4.ip_forward должен сообщать 1, а nft list ruleset или iptables -S показывает, разрешено ли интерфейсу туннеля вообще перенаправлять. Отсутствующее правило masquerade выглядит со стороны клиента в точности как сломанный туннель.

Решите и то, куда туннель не должен дотягиваться. Сервер, размещённый на маршрутизаторе, видит каждую подсеть, которую маршрутизирует этот маршрутизатор, и это часто больше, чем предполагает политика доступа. На отдельном хосте та же изоляция находится на расстоянии одного правила брандмауэра, а радиус поражения от скомпрометированного клиента меньше. Описание IPsec-шлюза в RFC 7296 трактует это как вопрос маршрутизации и политики, а не оборудования, и ни одна из форм по умолчанию не безопаснее, пока политика не записана.

Держите консоль восстановления, не зависящую от туннеля

Консоль, которой вы чините VPN, не может быть самим VPN. Держите LAN-адрес, последовательную консоль или консоль провайдера, которая работает, пока туннель лежит, и используйте её хотя бы раз до того, как она понадобится. Внеполосный путь, который ни разу не отрабатывали, — это план, а не возможность.

Сделайте резервную копию конфигурации там, откуда сам хост не сможет её удалить. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn захватывает ключи и определения служб, и копия должна покинуть машину. Включите правила брандмауэра и опись клиентов, потому что восстановление ключей без списка партнёров даёт сервер, к которому никто не может подключиться. Храните архив там, откуда консоль восстановления может его достать.

Запишите шаг отката в ту же заметку. Изменение конфигурации без документированного отката — это постоянное изменение, каким бы ни было намерение.

Проверьте выбор перезагрузкой и обновлением

Проверяйте устройство так, как оно откажет, а не так, как оно работает в хороший день. Перезагрузите хост, примените ожидающее обновление и подтвердите, что туннель возвращается без ручных шагов.

После перезагрузки проверьте три вещи, которые ломаются чаще всего. systemctl is-active wg-quick@wg0 сообщает, вернулся ли интерфейс, ss -lunp показывает, слушает ли что-то порт, а wg show перечисляет партнёра с завершённым рукопожатием. Активная служба без рукопожатия означает, что неверен брандмауэр или маршрут, а не демон.

Повторите проверку с клиента в другой сети, не в той, из которой вы настраивали. Если туннель переживает перезагрузку, обновление и смену клиентской сети, выбор хоста пока решён. Если нет, недостающая часть обычно документированный шаг, а не другая коробка.