Vad behöver du innan du hostar din egen VPN-server?

Att installera serverprogramvaran är den kortaste delen av en egenhostad VPN, och det är steget folk börjar med. Om driftsättningen fungerar beror på om en klient når slutpunkten, vad den klienten får nå efteråt och hur du kommer in igen när det är tunneln som har gått sönder. Avgör alla tre innan pakethanteraren körs.

Två av dem är designbeslut och det tredje är en driftvana. Alla tre är billigare att rätta på papperet än under ett avbrott.

Bestäm vad klienterna ska nå

En fjärråtkomstserver behöver en väg till det privata nätverk den annonserar och en returväg för svaren, vilket gör den till en router för det nätverket och inte bara en lyssnare. En internetutgångsserver behöver vidarebefordran plus en adresserings- eller översättningslösning, och en avslutad handskakning ger inget av det. Välj uppgiften före topologin, eftersom de två konstruktionerna skiljer sig i routning, brandväggsregler och i vad klienten skickar genom tunneln. En server som ska klara båda behöver båda regeluppsättningarna och en matchande delning av klientens standardväg.

Välj tunnel- och LAN-områden som inte kan kollidera med nätverk som dina klienter redan använder, eftersom en bärbar dator som redan har 192.168.1.0/24 fortsätter att använda den vägen i stället för en tunnel som delar ut samma prefix. Kontrollera IPv4 och IPv6 var för sig, eftersom många får den första rätt och aldrig märker den andra. Där servern sitter bakom en annan router, bekräfta ingående nåbarhet utifrån i stället för att lita på en enda portvidarebefordran för att beskriva varje lager.

Identiteter, nycklar och en väg tillbaka in

Utfärda en separat identitet per enhet där programvaran stöder det, så att en förlorad bärbar dator innebär att en peer återkallas i stället för att servern byggs om. Privata nycklar hör hemma i skyddad lagring och aldrig i en profil som klistras in i ett chattmeddelande. Återställningsvägen är den del folk hoppar över: konsolåtkomst, en seriell konsol eller ett out-of-band-hanteringsgränssnitt som inte beror på tunneln. Utan en sådan gör en dålig brandväggsregel en liten ändring till ett besök på plats.

Skriv borttagningsproceduren samtidigt som registreringsproceduren. Att återkalla en enhet är en åtgärd du kommer att behöva så småningom, och det är lättare att beskriva medan installationen fortfarande är färsk.

Slutpunkt hemma eller hyrd?

Tre villkor avgör mellan att hosta hemma och att hyra en liten instans. Det första är om inkommande anslutningar överhuvudtaget når ditt nätverk, eftersom en carrier-grade-översatt upplänk eller ett restriktivt byggnadsnätverk tar bort alternativet. Det andra är om utgången måste synas någon annanstans än i din egen stad, eftersom bara en hyrd slutpunkt ändrar det. Det tredje är aptit på en andra förtroenderelation, eftersom en hostingleverantör blir en del av modellen och kan observera slutpunkten även när den inte kan läsa trafiken.

Om det första villkoret är uppfyllt och det andra är irrelevant är hosting hemma den kortare vägen. En hyrd slutpunkt köper placering och tillgänglighet snarare än integritet i sig.

Bevisa det med en klient och en omstart

Starta en klient, bekräfta resursen den ska nå och bekräfta att den slutar nå det den inte ska. Kommandona nedan visar peer-status, vägarna servern installerade och om vidarebefordran är aktiverad. Kör dem innan du registrerar någon annan.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

En peer med en färsk handskakning är ansluten, medan en peer utan handskakning aldrig förhandlade, och det är olika fel. Avstängd vidarebefordran förklarar en tunnel som kommer upp och inte bär något, så kontrollera servern innan du skyller på klienten. En saknad lyssnare betyder att tjänsten inte startade med den konfiguration du tror. Starta sedan om servern medvetet och upprepa hela uppsättningen, eftersom en tunnel som bara fungerar till omstarten är ett vanligt resultat av att testa den lyckliga vägen.

Skriv ner slutpunkten, peerarna, områdena och återställningsmetoden på en sida. Den sidan är runbooken du läser vid det minst lägliga tillfället.