Čo potrebuješ, kým začneš hostovať vlastný VPN server?

Inštalácia serverového softvéru je najkratšia časť samohostovanej VPN a je to krok, ktorým ľudia začínajú. Či nasadenie funguje, závisí od toho, či sa klient dostane na koncový bod, čo ten klient smie dosiahnuť potom a ako sa dostaneš späť dnu, keď sa pokazí práve tunel. Vyrieš všetky tri veci, kým sa spustí správca balíčkov.

Dve z nich sú rozhodnutia o návrhu a tretia je prevádzkový zvyk. Všetky tri sa opravujú lacnejšie na papieri než počas výpadku.

Rozhodni, čo majú klienti dosiahnuť

Server vzdialeného prístupu potrebuje trasu do privátnej siete, ktorú inzeruje, a spiatočnú cestu pre odpovede, čo z neho robí router tejto siete, nie iba poslucháča. Server internetového výstupu potrebuje preposielanie plus usporiadanie adresovania alebo prekladu, a dokončený handshake neposkytuje ani jedno. Vyber úlohu pred topológiou, lebo oba návrhy sa líšia v routovaní, v pravidlách firewallu a v tom, čo klient posiela tunelom. Server, od ktorého sa žiada oboje, potrebuje obe sady pravidiel a zodpovedajúce rozdelenie predvolenej trasy klienta.

Vyber rozsahy tunela a LAN, ktoré nemôžu kolidovať so sieťami, ktoré tvoji klienti už používajú, pretože notebook, ktorý už má 192.168.1.0/24, bude ďalej používať túto trasu namiesto tunela prideľujúceho rovnaký prefix. Skontroluj IPv4 a IPv6 oddelene, lebo mnohí urobia prvé správne a druhé si nikdy nevšimnú. Tam, kde server stojí za ďalším routerom, potvrď dostupnosť zvonku namiesto toho, aby si veril jednému presmerovaniu portu, že opíše každú vrstvu.

Identity, kľúče a cesta späť

Vydávaj samostatnú identitu pre každé zariadenie tam, kde to softvér podporuje, takže stratený notebook znamená odvolanie jedného peera namiesto prestavby servera. Súkromné kľúče patria do chráneného úložiska a nikdy do profilu vloženého do chatovej správy. Cesta obnovy je tá časť, ktorú ľudia preskakujú: prístup ku konzole, sériová konzola alebo rozhranie na správu mimo pásma, ktoré nezávisí od tunela. Bez neho zlé pravidlo firewallu premení malú zmenu na návštevu na mieste.

Napíš postup odobratia súčasne s postupom zaradenia. Odvolanie zariadenia je operácia, ktorú raz budeš potrebovať, a ľahšie sa opisuje, kým je nastavenie ešte čerstvé.

Koncový bod doma alebo prenajatý?

O voľbe medzi hostovaním doma a prenájmom malej inštancie rozhodujú tri podmienky. Prvá je či sa prichádzajúce spojenia vôbec dostanú do tvojej siete, lebo preložený uplink na úrovni operátora alebo reštriktívna sieť budovy túto možnosť vylučujú. Druhá je, či sa výstup musí objaviť inde ako v tvojom meste, lebo to mení iba prenajatý koncový bod. Tretia je chuť na druhý vzťah dôvery, lebo poskytovateľ hostingu vstupuje do modelu a môže koncový bod pozorovať, aj keď nevie čítať prevádzku.

Ak je prvá podmienka splnená a druhá nepodstatná, hostovanie doma je kratšia cesta. Prenajatý koncový bod kupuje umiestnenie a dostupnosť, nie súkromie samo o sebe.

Dokáž to jedným klientom a reštartom

Spusti jedného klienta, potvrď zdroj, ktorý má dosiahnuť, a potvrď, že prestane dosahovať to, čo nemá. Nižšie uvedené príkazy ukazujú stav peerov, trasy nainštalované serverom a či je zapnuté preposielanie. Spusti ich, kým zaradíš kohokoľvek ďalšieho.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Peer s nedávnym handshakeom je pripojený, zatiaľ čo peer bez handshake nikdy nevyjednával, a to sú rôzne poruchy. Vypnuté preposielanie vysvetľuje tunel, ktorý sa zdvihne a nič neprenáša, takže skontroluj server, kým obviníš klienta. Chýbajúci poslucháč znamená, že služba nezačala s konfiguráciou, ktorú si myslíš. Potom server zámerne reštartuj a celú sadu zopakuj, lebo tunel, ktorý funguje iba do reštartu, je častým výsledkom testovania šťastnej cesty.

Zapíš koncový bod, peery, rozsahy a metódu obnovy na jednu stránku. Tá stránka je runbook, ktorý budeš čítať v najmenej vhodnej chvíli.