Usmerjevalnik ali ločen računalnik kot vaš strežnik VPN: kako izbrati

Tako usmerjevalnik kot majhen računalnik lahko zaključita VPN, in odločitev redko visi na prepustnosti. Visi na tem, kdo uporabi posodobitev ob dveh zjutraj, kaj drugega se ustavi, ko se ta škatla znova zažene, in ali lahko še vedno dosežete konzolo, ko se je pokvaril prav tunel. Odgovorite na ta tri vprašanja za vsakega kandidata in izbira se običajno naredi sama. Spodnji postopek spremeni primerjavo v kratek seznam stvari, ki jih lahko preverite, preden se zavežete.

Začnite s tem, kar mora ostati v delovanju, ko tunel odpove

Odpoved, za katero je treba načrtovati, je tista, ko proces VPN umre in vseeno morate doseči gostitelja. Na usmerjevalniku si tunel in internetna prehodnica delita usodo: ena slaba sprememba konfiguracije lahko podre oba, pot obnovitve pa je pogosto fizična ponastavitev. Na ločenem računalniku prehodnica deluje naprej in gostitelj je še vedno dosegljiv prek LAN. Kateri od teh izidov vam je znosen, odloči več kot kateri koli seznam funkcij.

Odgovor zapišite kot stavek: če se gostitelj VPN znova zažene, kaj izgubi gospodinjstvo ali pisarna? Če odgovor vključuje ves dostop do interneta, ste sprejeli skupno domeno odpovedi in to bi morali povedati namerno, namesto da to odkrijete pozneje.

Druga storitev na isti napravi ni rezervna konzola. Deli napajanje, vdelano programsko opremo in skrbniški račun.

Preštejte površine za vzdrževanje, ki jih doda vsak gostitelj

Usmerjevalnik prinese vdelano programsko opremo proizvajalca z lastnim ritmom izdaj, funkcija VPN pa je običajno en modul znotraj veliko večje podobe. Računalnik prinese operacijski sistem, upravitelja paketov, jedro in nabor storitev, ki so zdaj vaše. Oba potrebujeta popravke in pravo vprašanje je, kateri ritem boste držali, ko novost mine.

Na gostitelju Linux naredite ta ritem viden, namesto da bi vanj upali. systemctl list-timers prikaže načrtovana opravila in apt list --upgradable prikaže, kaj čaka. Zapišite, katere posodobitve zahtevajo ponovni zagon, saj je gostitelj VPN, ki se znova zažene, prekinitev, razen če ste jo načrtovali. Usmerjevalnik brez samodejne poti posodobitev namesto tega potrebuje vnos v koledar, kar je šibkejši nadzor, a pošten.

Preštejte tudi račune. Vsaka dodatna prijava skrbnika na gostitelju VPN je še ena poverilnica za rotacijo in še ena pot za preklic.

Sledite poti zasebnega omrežja, ne nalepki na škatli

Odjemalce ne zanima, kje teče strežnik; zanima jih, ali so zaščiteni prefiksi dosegljivi in ali obstaja pot nazaj. Strežnik postavite tja, kjer je usmerjanje najpreprostejše, kar običajno pomeni neposredno na segmentu, ki hrani vire. Računalnik za usmerjevalnikom še vedno potrebuje posredovanje vrat, viri v tem LAN pa še vedno potrebujejo pot nazaj v podomrežje tunela.

Preverite posredovanje na gostitelju, preden obtožite odjemalca. sysctl net.ipv4.ip_forward bi moral poročati 1, nft list ruleset ali iptables -S pa pokaže, ali sme vmesnik tunela sploh posredovati. Manjkajoče pravilo masquerade je z vidika odjemalca videti natanko kot pokvarjen tunel.

Odločite tudi, česa tunel ne sme doseči. Strežnik na usmerjevalniku vidi vsako podomrežje, ki ga ta usmerjevalnik usmerja, in to je pogosto več, kot predvideva politika dostopa. Na ločenem gostitelju je enaka izolacija eno pravilo požarnega zidu proč, polmer škode po kompromitiranem odjemalcu pa je manjši. Opis prehoda IPsec v RFC 7296 to obravnava kot vprašanje usmerjanja in politike, ne strojne opreme, in nobena oblika ni privzeto varnejša, dokler politika ni zapisana.

Imate konzolo za obnovitev, ki ni odvisna od tunela

Konzola, s katero popravljate VPN, ne more biti VPN sam. Imate naslov LAN, serijsko konzolo ali konzolo ponudnika, ki deluje, medtem ko tunel leži, in jo uporabite vsaj enkrat, preden jo potrebujete. Pot zunaj pasu, ki ni bila nikoli vadena, je načrt in ne zmožnost.

Varnostno kopirajte konfiguracijo nekam, kjer je gostitelj sam ne more izbrisati. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn zajame ključe in definicije storitev, kopija pa mora zapustiti stroj. Vključite pravila požarnega zidu in popis odjemalcev, ker obnovitev ključev brez seznama partnerjev ustvari strežnik, h kateremu se nihče ne more pridružiti. Arhiv shranite tja, kjer ga konzola za obnovitev doseže.

Korak razveljavitve zapišite v isto opombo. Sprememba konfiguracije brez dokumentirane razveljavitve je trajna sprememba, kakršen koli je bil namen.

Izbiro preverite s ponovnim zagonom in posodobitvijo

Preizkusite ureditev tako, kot bo odpovedala, ne tako, kot deluje na dober dan. Znova zaženite gostitelja, uporabite čakajočo posodobitev in potrdite, da se tunel vrne brez ročnih korakov.

Po ponovnem zagonu preverite tri stvari, ki se najpogosteje zlomijo. systemctl is-active wg-quick@wg0 poroča, ali se je vmesnik vrnil, ss -lunp pokaže, ali kaj posluša na vratih, in wg show navede partnerja z dokončanim rokovanjem. Storitev, ki je aktivna brez rokovanja, pomeni, da sta napačna požarni zid ali pot, ne daemon.

Ponovite preverjanje z odjemalca v drugem omrežju, kot je tisto, iz katerega ste konfigurirali. Če tunel preživi ponovni zagon, posodobitev in spremembo odjemalčevega omrežja, je izbira gostitelja za zdaj rešena. Če ne, je manjkajoči del običajno dokumentiran korak in ne druga škatla.