Kaj potrebuješ, preden gostiš svoj VPN strežnik?

Namestitev strežniške programske opreme je najkrajši del samogostujočega VPN in to je korak, s katerim ljudje začnejo. Ali bo uvajanje delovalo, je odvisno od tega, ali odjemalec doseže končno točko, kaj sme ta odjemalec doseči pozneje in kako prideš nazaj noter, ko se pokvari prav tunel. Uredi vse tri stvari, preden se zažene upravitelj paketov.

Dve od njih sta oblikovalski odločitvi, tretja pa je obratovalna navada. Vse tri je ceneje popraviti na papirju kot med izpadom.

Odloči, kaj naj odjemalci dosežejo

Strežnik za oddaljeni dostop potrebuje pot v zasebno omrežje, ki ga oglašuje, in povratno pot za odgovore, zaradi česar je usmerjevalnik tega omrežja in ne le poslušalec. Strežnik za internetni izhod potrebuje posredovanje ter ureditev naslavljanja ali prevajanja, dokončano rokovanje pa ne daje ne enega ne drugega. Izberi nalogo pred topologijo, ker se zasnovi razlikujeta v usmerjanju, pravilih požarnega zidu in v tem, kaj odjemalec pošilja skozi tunel. Strežnik, od katerega se zahteva oboje, potrebuje oba nabora pravil in ustrezno delitev privzete poti odjemalca.

Izberi razpone tunela in LAN, ki ne morejo trčiti v omrežja, ki jih tvoji odjemalci že uporabljajo, saj bo prenosnik, ki že ima 192.168.1.0/24, še naprej uporabljal to pot namesto tunela, ki dodeljuje isto predpono. Preveri IPv4 in IPv6 ločeno, ker mnogi prvo naredijo prav in drugega nikoli ne opazijo. Kjer strežnik stoji za drugim usmerjevalnikom, potrdi dosegljivost od zunaj, namesto da bi zaupal enemu posredovanju vrat, da opiše vsak sloj.

Identitete, ključi in pot nazaj

Izdaj ločeno identiteto za vsako napravo, kjer programska oprema to podpira, tako da izgubljen prenosnik pomeni preklic enega partnerja namesto ponovne gradnje strežnika. Zasebni ključi spadajo v zaščiteno shrambo in nikoli v profil, prilepljen v sporočilo klepeta. Pot obnovitve je del, ki ga ljudje preskočijo: dostop do konzole, serijska konzola ali vmesnik za upravljanje zunaj pasu, ki ni odvisen od tunela. Brez njega slabo pravilo požarnega zidu spremeni majhno spremembo v obisk na lokaciji.

Napiši postopek odstranitve hkrati s postopkom vpisa. Preklic naprave je operacija, ki jo boš slej ko prej potreboval, in lažje jo je opisati, dokler je nastavitev še sveža.

Končna točka doma ali najeta?

Trije pogoji odločajo med gostovanjem doma in najemom majhnega primerka. Prvi je ali dohodne povezave sploh dosežejo tvoje omrežje, ker prevedena navzgornja povezava na ravni operaterja ali omejevalno stavbno omrežje to možnost odstranita. Drugi je, ali se mora izhod pojaviti drugje kot v tvojem mestu, ker to spremeni le najeta končna točka. Tretji je apetit po drugem razmerju zaupanja, ker ponudnik gostovanja vstopi v model in lahko opazuje končno točko tudi takrat, ko ne more brati prometa.

Če je prvi pogoj izpolnjen in je drugi nepomemben, je gostovanje doma krajša pot. Najeta končna točka kupi lokacijo in razpoložljivost, ne zasebnosti same po sebi.

Dokaži z enim odjemalcem in ponovnim zagonom

Zaženi enega odjemalca, potrdi vir, ki ga mora doseči, in potrdi, da preneha dosegati tisto, česar ne bi smel. Ukazi spodaj kažejo stanje partnerjev, poti, ki jih je namestil strežnik, in ali je posredovanje omogočeno. Zaženi jih, preden vpišeš kogar koli drugega.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Partner z nedavnim rokovanjem je povezan, medtem ko partner brez rokovanja ni nikoli pogajal, in to so različne napake. Izključeno posredovanje pojasnjuje tunel, ki se dvigne in ne prenaša ničesar, zato preveri strežnik, preden obtožiš odjemalca. Manjkajoči poslušalec pomeni, da se storitev ni zagnala s konfiguracijo, ki jo misliš. Nato namerno znova zaženi strežnik in ponovi celoten sklop, ker je tunel, ki deluje samo do ponovnega zagona, pogost rezultat preizkušanja srečne poti.

Zapiši končno točko, partnerje, razpone in metodo obnovitve na eno stran. Ta stran je priročnik, ki ga boš bral v najmanj priročnem trenutku.