Шта VPS мора да дозволи пре него што може да хостује ваш VPN

Инстанца се подиже, инсталације пакета успевају, а сервис чак пријављује стање рада, али ништа се не повезује. Овај образац је уобичајен на виртуелним приватним серверима, јер гост који лако стиже до интернета ипак може бити неспособан да створи интерфејс који ваш протокол тражи. Пет провера раздваја хост који може да служи тунел од оног који само изгледа спреман, а прва неуспешна провера обично објашњава све после ње. Свака је јефтина за извршавање и завршава се одлуком, а не забелешком.

Потврдите интерфејс који протокол захтева

OpenVPN преко TUN-а захтева знаковни уређај и кернелски модул иза њега; WireGuard захтева сопствену кернелску подршку или имплементацију у корисничком простору са одговарајућим очекивањима. Управљани контејнери могу делити хост кернел који никада не излаже уређај, а неке платформе потпуно забрањују стварање тунелских интерфејса, без обзира на то шта је инсталирано.

Тестирајте способност уместо да читате страницу подршке, јер се маркетиншке ознаке мењају брже од основних ограничења. Листа функција написана за један план можда не описује кернел на ком гост заиста ради. Две кратке команде одговарају на питање за уобичајене протоколе и обе чисте за собом. Команде испод не стварају ништа трајно и одмах се уклањају.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Одбијање на првом пару значи да TUN није доступан и да подразумевани режим OpenVPN-а не може да почне; одбијање на последњој линији значи да недостаје кернелски интерфејс WireGuard-а. Кернелска документација о TUN/TAP описује уређај који прва провера проверава. Ниједна од две грешке не отклања се поновним инсталирањем VPN пакета.

Запамтите да улазна путања има два власника

Мрежна правила провајдера и заштитни зид госта су одвојени системи, а саобраћај мора да прође кроз оба. Слушалац везан на госту не значи ништа ако безбедносна група провајдера одбаци порт, а отворено правило провајдера не чини ништа ако гост одбије пакет. Проверите слушаоца, затим правила госта, затим панел провајдера, тим редом, и потврдите и протокол и број порта. Скок право на панел провајдера је начин на који људи отварају опсег који им није био потребан.

UDP је уобичајена жртва: многе платформе подразумевано дозвољавају TCP и третирају UDP правила као одвојен унос. Ако инстанца стоји иза NAT-а провајдера уместо да има јавну адресу, прослеђивање портова на страни провајдера постаје трећа конфигурација коју треба ускладити.

Планирајте повратни пут, не само излаз

Услуга пуног тунела захтева омогућено прослеђивање, шему превођења или рутирања клијентског саобраћаја и повратни пут који стиже до групе клијената. Отварање слушаоца не даје ништа од тога. Тунел који се успостави али не носи корисни саобраћај обично не успева овде, а не при аутентификацији. Третирајте успешно руковање као почетак дијагнозе, не као њен крај.

Напишите план као три конкретне одлуке: који опсег извора клијенти добијају, како њихов саобраћај излази ка интернету и како одговори налазе пут назад. Затим потврдите да се кернел слаже са планом пре него што тестирате клијента, да се тиха неусклађеност не би схватила као квар на страни клијента.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Одлучите о IPv6 експлицитно

IPv6 долази кроз неколико механизама који се за портал понашају различито: адреса на инстанци, рутирани префикс или ништа. Само рутирани префикс омогућава серверу да даје адресе клијентима на уобичајен начин. Претпоставка да радна IPv6 адреса на хосту значи употребљив клијентски префикс је грешка која се касније појави као напола покварена повезаност. То је врста квара која преживи свако тестирање изведено само са IPv4.

Ако провајдер не рутира ниједан префикс, одлучите да ли је тунел само IPv4 и да ли клијенте треба обавестити. Документовано одсуство је безбедније од делимичне конфигурације која тихо шаље IPv6 одредишта у црну рупу за повезане кориснике.

Докажите то са спољашњег клијента

Локални статус услуге описује један процес на једном хосту. Корисно тестирање је овлашћени клијент на другој мрежи, који се повезује профилом који намеравате да дистрибуирате, затим стиже до апликације и разрешава име. Повежите се још једном, јер тунел који ради само при првом покушају не испуњава захтев који је у пракси најважнији.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Држите оперативне основе поред тестирања: простор за ажурирања, ограничене дневнике, административни приступ који не зависи од тунела, конзолу за опоравак и забелешку о томе шта се дешава са клијентским профилима када се инстанца поново изгради и њена јавна адреса промени. Ако потребни интерфејс или модел прослеђивања једноставно није доступан, никаква промена на страни клијента то неће обезбедити, а частан следећи корак је други тип инстанце, не више конфигурације.