Kaj mora VPS dovoliti, preden lahko gosti vaš VPN

Primerek se zažene, namestitve paketov uspejo in storitev celo poroča o delujočem stanju, a nič se ne poveže. Ta vzorec je pogost na navideznih zasebnih strežnikih, ker gost, ki zlahka doseže internet, še vedno morda ne more ustvariti vmesnika, ki ga zahteva vaš protokol. Pet preverjanj loči gostitelja, ki lahko streže tunel, od tistega, ki je le videti pripravljen, in prvo preverjanje, ki spodleti, običajno pojasni vse za njim. Vsako je poceni za izvedbo in se konča z odločitvijo, ne z zapiskom.

Potrdite vmesnik, ki ga protokol potrebuje

OpenVPN prek TUN potrebuje znakovno napravo in jedrni modul za njo; WireGuard potrebuje lastno podporo v jedru ali uporabniško izvedbo z ustreznimi pričakovanji. Upravljani vsebniki si lahko delijo gostiteljsko jedro, ki naprave nikoli ne izpostavi, nekatere platforme pa ustvarjanje tunelskih vmesnikov povsem prepovejo, ne glede na to, kaj je nameščeno.

Preizkusite zmožnost, namesto da berete stran za podporo, ker se tržne oznake spreminjajo hitreje od osnovnih omejitev. Seznam funkcij, napisan za en načrt, morda ne opisuje jedra, na katerem gost dejansko teče. Dva kratka ukaza odgovorita na vprašanje za pogosto uporabljene protokole in oba pospravita za seboj. Ukazi spodaj ne ustvarijo nič trajnega in se takoj odstranijo.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Zavrnitev pri prvem paru pomeni, da TUN ni na voljo in privzeti način OpenVPN se ne more zagnati; zavrnitev v zadnji vrstici pomeni, da jedrski vmesnik WireGuard manjka. Jedrna dokumentacija o TUN/TAP opisuje napravo, ki jo preizkuša prvo preverjanje. Nobene od obeh napak ne odpravi ponovna namestitev paketa VPN.

Ne pozabite, da ima vhodna pot dva lastnika

Omrežna pravila ponudnika in požarni zid gosta so ločeni sistemi, promet pa mora prestati oba. Poslušalec, vezan na gostu, ne pomeni nič, če varnostna skupina ponudnika zavrže vrata, in odprto pravilo ponudnika ne naredi nič, če gost paket zavrne. Preverite poslušalca, nato pravila gosta, nato ploščo ponudnika, v tem vrstnem redu, in potrdite tako protokol kot številko vrat. Skočiti naravnost na ploščo ponudnika je način, kako ljudje odprejo obseg, ki ga niso potrebovali.

UDP je običajna žrtev: mnoge platforme privzeto dovoljujejo TCP in pravila UDP obravnavajo kot ločen vnos. Če primerek stoji za NAT ponudnika, namesto da bi imel javni naslov, postane posredovanje vrat na strani ponudnika tretja konfiguracija, ki jo je treba uskladiti.

Načrtujte povratno pot, ne le izhoda

Storitev polnega tunela potrebuje omogočeno posredovanje, shemo prevajanja ali usmerjanja za odjemalski promet in povratno pot, ki doseže skupino odjemalcev. Odpiranje poslušalca ne ponuja nič od tega. Tunel, ki se vzpostavi, a ne prenaša koristnega prometa, običajno spodleti tukaj, ne pri preverjanju pristnosti. Uspešno rokovanje obravnavajte kot začetek diagnoze, ne kot njen konec.

Načrt zapišite kot tri konkretne odločitve: kateri obseg virov prejmejo odjemalci, kako njihov promet odhaja v internet in kako odgovori najdejo pot nazaj. Nato potrdite, da se jedro strinja z načrtom, preden preizkusite odjemalca, da se tiha neusklajenost ne zamenja z napako na strani odjemalca.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

O IPv6 odločite izrecno

IPv6 prihaja po več mehanizmih, ki se za vrata obnašajo različno: naslov na primerku, usmerjena predpona ali nič. Le usmerjena predpona omogoča strežniku, da odjemalcem dodeljuje naslove na običajen način. Predpostavka, da delujoč naslov IPv6 na gostitelju pomeni uporabno odjemalsko predpono, je napaka, ki se pozneje pokaže kot napol zlomljena povezljivost. To je vrsta napake, ki preživi vsak preizkus, izveden le z IPv4.

Če ponudnik ne usmerja nobene predpone, odločite, ali je tunel le IPv4 in ali je treba odjemalcem to povedati. Dokumentirana odsotnost je varnejša od delne konfiguracije, ki tiho pošilja cilje IPv6 v črno luknjo za povezane uporabnike.

Dokažite to z zunanjega odjemalca

Lokalno stanje storitve opisuje en proces na enem gostitelju. Koristen preizkus je pooblaščen odjemalec v drugem omrežju, ki se poveže s profilom, ki ga nameravate razdeliti, nato doseže aplikacijo in razreši ime. Znova se povežite, ker tunel, ki deluje le ob prvem poskusu, ne izpolnjuje zahteve, ki je v praksi najpomembnejša.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Ob preizkusu ohranite operativne temelje: prostor za posodobitve, omejene dnevnike, skrbniški dostop, ki ni odvisen od tunela, konzolo za obnovitev in zapisek o tem, kaj se zgodi s profili odjemalcev, ko se primerek znova zgradi in se njegov javni naslov spremeni. Če zahtevani vmesnik ali model posredovanja preprosto ni na voljo, nobena sprememba na strani odjemalca tega ne bo zagotovila, in pošten naslednji korak je druga vrsta primerka, ne več konfiguracije.