Шта ти је потребно пре него што угостиш сопствени VPN сервер?

Инсталација серверског софтвера најкраћи је део самостално угошћеног VPN-а и корак је с којим људи почињу. Да ли ће постављање радити зависи од тога може ли клијент доћи до завршне тачке, шта тај клијент сме достићи после и како се враћаш унутра када је тунел оно што се покварило. Разреши све три ствари пре него што се покрене управник пакета.

Две су од њих дизајнерске одлуке, а трећа је оперативна навика. Све три је јефтиније поправити на папиру него током прекида рада.

Одлучи шта клијенти треба да достигну

Сервер за удаљени приступ треба руту у приватну мрежу коју оглашава и повратни пут за одговоре, што га чини усмеривачем те мреже, а не само слушаоцем. Сервер за интернетски излаз треба прослеђивање плус распоред адресирања или превођења, а завршено руковање не даје ни једно ни друго. Изабери посао пре топологије јер се два приступа разликују у усмеравању, правилима заштитног зида и у томе шта клијент шаље кроз тунел. Сервер од којег се тражи обоје треба оба скупа правила и одговарајућу поделу клијентове подразумеване руте.

Изабери распоне тунела и LAN-а који не могу да колидирају са мрежама које твоји клијенти већ користе, јер преносник који већ има 192.168.1.0/24 наставиће да користи ту руту уместо тунела који дели исти префикс. Провери IPv4 и IPv6 одвојено јер многи први погоде, а други никада не примете. Где сервер стоји иза другог усмеривача, потврди долазну доступност споља уместо да верујеш једном прослеђивању порта да опише сваки слој.

Идентитети, кључеви и пут назад

Издај засебан идентитет по уређају где то софтвер подржава, тако да изгубљени преносник значи опозив једног партнера уместо поновне изградње сервера. Приватни кључеви припадају заштићеном складишту и никада профилу залепљеном у поруку разговора. Пут опоравка је део који људи прескачу: приступ конзоли, серијска конзола или интерфејс за управљање изван опсега који не зависи од тунела. Без њега лоше правило заштитног зида претвара малу промену у посету локацији.

Напиши поступак уклањања истовремено с поступком уписа. Опозив уређаја је операција која ће ти пре или касније требати, а лакше ју је описати док је подешавање још свеже.

Завршна тачка код куће или изнајмљена?

Три услова одлучују између угошћавања код куће и најма мале инстанце. Први је могу ли долазне везе уопште доћи до твоје мреже, јер преведени узлазни спој на нивоу оператера или рестриктивна мрежа зграде уклањају ту опцију. Други је мора ли се излаз појавити негде другде осим у твом граду, јер то мења само изнајмљена завршна тачка. Трећи је апетит за другим односом поверења, јер пружалац угошћавања улази у модел и може посматрати завршну тачку чак и када не може да чита саобраћај.

Ако је први услов испуњен, а други небитан, угошћавање код куће краћи је пут. Изнајмљена завршна тачка купује локацију и доступност, а не приватност саму по себи.

Докажи то једним клијентом и поновним покретањем

Подигни један клијент, потврди ресурс који треба да достигне и потврди да престаје да достиже оно што не би смео. Наредбе у наставку показују стање партнера, руте које је сервер инсталирао и је ли прослеђивање омогућено. Покрени их пре него што упишеш било кога другог.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Партнер са недавним руковањем повезан је, док партнер без руковања никада није преговарао, и то су различите грешке. Искључено прослеђивање објашњава тунел који се подиже и не преноси ништа, па провери сервер пре него што окривиш клијента. Слушалац који недостаје значи да услуга није покренута с конфигурацијом коју мислиш. Затим намерно поново покрени сервер и понови цео скуп, јер тунел који ради само до поновног покретања чест је резултат тестирања срећног пута.

Запиши завршну тачку, партнере, распоне и метод опоравка на једну страницу. Та страница је приручник који ћеш читати у најнеповољнијем тренутку.