Router alebo samostatný počítač ako váš VPN server: ako vybrať

VPN môže ukončiť router aj malý počítač, a rozhodnutie málokedy závisí od priepustnosti. Závisí od toho, kto aplikuje aktualizáciu o druhej ráno, čo ďalšie sa zastaví, keď sa tá krabica reštartuje, a či sa ešte dostanete ku konzole, keď sa pokazil práve tunel. Odpovedzte na tieto tri otázky pre každého kandidáta a voľba sa zvyčajne urobí sama. Postup nižšie mení porovnanie na krátky zoznam vecí, ktoré môžete overiť pred záväzkom.

Začnite tým, čo musí zostať v prevádzke, keď tunel zlyhá

Zlyhanie, na ktoré treba projektovať, je to, keď proces VPN zomrie a vy sa aj tak musíte dostať na hostiteľa. Na routeri zdieľajú tunel a internetová brána rovnaký osud: jedna zlá zmena konfigurácie môže zraziť obe, a cesta obnovy je často fyzický reset. Na samostatnom počítači brána ďalej funguje a hostiteľ je stále dostupný cez LAN. Ktorý z týchto výsledkov znesiete, rozhoduje viac než akýkoľvek zoznam funkcií.

Napíšte odpoveď ako vetu: ak sa hostiteľ VPN reštartuje, čo stratí domácnosť alebo kancelária? Ak odpoveď zahŕňa všetok prístup na internet, prijali ste spoločnú doménu zlyhania a mali by ste to povedať zámerne, namiesto toho, aby ste to objavili neskôr.

Druhá služba na tom istom zariadení nie je záložná konzola. Zdieľa napájanie, firmvér a účet správcu.

Spočítajte plochy údržby, ktoré každý hostiteľ pridá

Router prináša firmvér výrobcu s vlastným tempom vydaní a funkcia VPN je zvyčajne jeden modul vnútri oveľa väčšieho obrazu. Počítač prináša operačný systém, správcu balíčkov, jadro a sadu služieb, ktoré teraz vlastníte. Oboje potrebuje záplaty a skutočná otázka je, aké tempo udržíte, keď novota vyprchá.

Na linuxovom hostiteľovi urobte to tempo viditeľným, namiesto toho, aby ste vň dúfali. systemctl list-timers zobrazuje naplánované úlohy a apt list --upgradable ukazuje, čo čaká. Zapíšte, ktoré aktualizácie vyžadujú reštart, pretože reštartujúci sa hostiteľ VPN je výpadok, ak ste ho neplánovali. Router bez automatickej cesty aktualizácií potrebuje namiesto toho položku v kalendári, čo je slabšia kontrola, ale čestná.

Počítajte aj účty. Každé ďalšie prihlásenie správcu na hostiteľovi VPN je ďalší údaj na rotáciu a ďalšia cesta na zrušenie.

Sledujte cestu privátnej siete, nie etiketu na krabici

Klientom je jedno, kde server beží; zaujíma ich, či sú chránené prefixy dostupné a či existuje spiatočná cesta. Umiestnite server tam, kde je smerovanie najjednoduchšie, čo zvyčajne znamená priamo na segment, ktorý drží zdroje. Počítač za routerom stále potrebuje presmerovanie portu a zdroje v tej LAN stále potrebujú cestu späť do podsiete tunela.

Overte presmerovanie na hostiteľovi, kým obviníte klienta. sysctl net.ipv4.ip_forward by mal hlásiť 1 a nft list ruleset alebo iptables -S ukazuje, či rozhranie tunela vôbec smie presmerovávať. Chýbajúce pravidlo masquerade vyzerá z pohľadu klienta presne ako pokazený tunel.

Rozhodnite aj, čo tunel nesmie dosiahnuť. Server umiestnený na routeri vidí každú podsieť, ktorú tento router smeruje, a to je často viac, než zamýšľa politika prístupu. Na samostatnom hostiteľovi je tá istá izolácia vzdialená jedno pravidlo firewallu a polomer škôd od kompromitovaného klienta je menší. Opis brány IPsec v RFC 7296 to chápe ako otázku smerovania a politiky, nie hardvéru, a ani jedna forma nie je predvolene bezpečnejšia, kým politika nie je napísaná.

Udržujte obnovovaciu konzolu, ktorá nezávisí od tunela

Konzola, ktorou opravujete VPN, nemôže byť samotná VPN. Udržujte LAN adresu, sériovú konzolu alebo konzolu poskytovateľa, ktorá funguje, keď tunel padne, a použite ju aspoň raz, kým ju budete potrebovať. Cesta mimo pásma, ktorá nikdy nebola precvičená, je plán a nie schopnosť.

Zálohujte konfiguráciu niekde, kde ju samotný hostiteľ nemôže vymazať. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn zachytí kľúče a definície služieb a kópia musí opustiť stroj. Zahrňte pravidlá firewallu a inventár klientov, pretože obnovenie kľúčov bez zoznamu partnerov vytvorí server, ku ktorému sa nikto nepripojí. Uložte archív tam, kde sa k nemu obnovovacia konzola dostane.

Napíšte krok vrátenia do tej istej poznámky. Zmena konfigurácie bez zdokumentovaného zvrátenia je trvalá zmena, nech bol úmysel akýkoľvek.

Overte voľbu reštartom a aktualizáciou

Testujte usporiadanie tak, ako zlyhá, nie tak, ako funguje v dobrý deň. Reštartujte hostiteľa, aplikujte čakajúcu aktualizáciu a potvrďte, že tunel sa vráti bez ručných krokov.

Po reštarte skontrolujte tri veci, ktoré sa lámu najčastejšie. systemctl is-active wg-quick@wg0 hlási, či sa rozhranie vrátilo, ss -lunp ukazuje, či na porte niečo počúva, a wg show vypíše partnera s dokončeným podaním ruky. Služba, ktorá je aktívna bez podania ruky, znamená, že chybný je firewall alebo trasa, nie démon.

Zopakujte kontrolu z klienta v inej sieti, než z ktorej ste konfigurovali. Ak tunel prežije reštart, aktualizáciu a zmenu klientskej siete, voľba hostiteľa je zatiaľ vyriešená. Ak nie, chýbajúci diel je zvyčajne zdokumentovaný krok a nie iná krabica.