Что нужно, прежде чем развернуть собственный VPN-сервер?

Установка серверного программного обеспечения — самая короткая часть самостоятельно размещённого VPN, и именно с этого шага люди начинают. Будет ли развёртывание работать, зависит от того, дотянется ли клиент до конечной точки, что этот клиент может достичь после и как вы вернётесь внутрь, когда сломался именно туннель. Уладьте все три вопроса, прежде чем запустится менеджер пакетов.

Два из них — проектные решения, а третье — эксплуатационная привычка. Все три дешевле исправить на бумаге, чем во время сбоя.

Решите, чего должны достигать клиенты

Серверу удалённого доступа нужен маршрут в частную сеть, которую он анонсирует, и обратный путь для ответов, что делает его маршрутизатором этой сети, а не просто слушателем. Серверу выхода в интернет нужна пересылка плюс схема адресации или трансляции, а завершённое рукопожатие не даёт ни того, ни другого. Выберите задачу раньше топологии, потому что два проекта различаются маршрутизацией, правилами межсетевого экрана и тем, что клиент отправляет через туннель. Сервер, от которого требуют обоих, нуждается в обоих наборах правил и подходящем разделении маршрута клиента по умолчанию.

Выберите диапазоны туннеля и LAN, которые не могут столкнуться с сетями, уже используемыми вашими клиентами, поскольку ноутбук, у которого уже есть 192.168.1.0/24, продолжит использовать этот маршрут вместо туннеля, выдающего тот же префикс. Проверяйте IPv4 и IPv6 отдельно, потому что многие делают первое правильно и никогда не замечают второе. Там, где сервер стоит за другим маршрутизатором, подтвердите доступность снаружи, а не полагайтесь на одну пересылку порта, которая опишет каждый уровень.

Идентичности, ключи и путь назад

Выдавайте отдельную идентичность на каждое устройство там, где это поддерживает программное обеспечение, чтобы потерянный ноутбук означал отзыв одного узла, а не пересборку сервера. Приватные ключи принадлежат защищённому хранилищу и никогда — профилю, вставленному в сообщение чата. Путь восстановления — это та часть, которую люди пропускают: доступ к консоли, последовательная консоль или интерфейс управления вне полосы, не зависящий от туннеля. Без него плохое правило межсетевого экрана превращает небольшое изменение в выезд на место.

Напишите процедуру удаления одновременно с процедурой подключения. Отзыв устройства — операция, которая вам рано или поздно понадобится, и её легче описать, пока настройка ещё свежа.

Конечная точка дома или арендованная?

Три условия решают между размещением дома и арендой небольшого инстанса. Первое — доходят ли входящие подключения до вашей сети вообще, поскольку транслированный входящий канал уровня оператора или ограничительная сеть здания исключают эту возможность. Второе — должен ли выход появляться где-то ещё, кроме вашего города, потому что это меняет только арендованная конечная точка. Третье — готовность ко вторым доверительным отношениям, поскольку хостинг-провайдер входит в модель и может наблюдать за конечной точкой, даже когда не может читать трафик.

Если первое условие выполнено, а второе неважно, размещение дома — более короткий путь. Арендованная конечная точка покупает местоположение и доступность, а не конфиденциальность саму по себе.

Докажите это одним клиентом и перезапуском

Поднимите одного клиента, подтвердите ресурс, до которого он должен дотянуться, и подтвердите, что он перестаёт достигать того, чего не должен. Команды ниже показывают состояние узлов, маршруты, установленные сервером, и включена ли пересылка. Выполните их, прежде чем подключать кого-либо ещё.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Узел с недавним рукопожатием подключён, тогда как узел без рукопожатия никогда не договаривался, и это разные отказы. Отключённая пересылка объясняет туннель, который поднимается и ничего не несёт, поэтому проверьте сервер, прежде чем винить клиента. Отсутствующий слушатель означает, что служба не запустилась с той конфигурацией, которую вы предполагаете. Затем намеренно перезапустите сервер и повторите весь набор, потому что туннель, работающий только до перезапуска, — частый результат проверки счастливого пути.

Запишите конечную точку, узлы, диапазоны и метод восстановления на одной странице. Эта страница — руководство, которое вы прочитаете в самый неудобный момент.