Kile VPS Inapaswa Kuruhusu Kabla ya Kukaribisha VPN Yako

Kipengele kinaanza, usanikishaji wa vifurushi unafanikiwa, na huduma hata inaripoti hali ya kufanya kazi, lakini hakuna kinachounganisha. Mtindo huu ni wa kawaida kwenye seva za kibinafsi za mtandao, kwa sababu mgeni anayefikia intaneti kwa urahisi bado anaweza kushindwa kuunda kiolesura ambacho itifaki yako inataka. Ukaguzi tano hutenganisha mwenyeji anayeweza kuhudumia handaki na yule anayeonekana tayari tu, na ukaguzi wa kwanza unaoshindwa kwa kawaida hufafanua kila kitu kinachofuata. Kila mmoja ni wa bei nafuu kuendesha na huishia kwa uamuzi badala ya kidokezo.

Thibitisha kiolesura kinachohitajika na itifaki

OpenVPN juu ya TUN kunahitaji kifaa cha herufi na moduli ya kernel iliyo nyuma yake; WireGuard inahitaji msaada wake wa kernel au utekelezaji wa nafasi ya mtumiaji wenye matarajio yanayolingana. Kontena zinazosimamiwa zinaweza kushiriki kernel ya mwenyeji ambayo haionyeshi kifaa kamwe, na baadhi ya majukwaa yanakataza kabisa kuunda violesura vya handaki bila kujali kile kilichosakinishwa.

Jaribu uwezo badala ya kusoma ukurasa wa msaada, kwa sababu lebo za masoko hubadilika haraka kuliko mipaka ya msingi. Orodha ya vipengele iliyoandikwa kwa mpango mmoja inaweza kutoelezea kernel ambayo mgeni anaendesha kweli. Amri mbili fupi hujibu swali kwa itifaki zinazotumika kwa kawaida, na zote mbili hujisafisha nyuma. Amri zilizo hapa chini haziundi kitu cha kudumu na huondolewa mara moja.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Kukataliwa kwa jozi ya kwanza kunamaanisha TUN haipatikani na hali ya chaguo-msingi ya OpenVPN haiwezi kuanza; kukataliwa kwenye mstari wa mwisho kunamaanisha kiolesura cha kernel cha WireGuard hakipo. nyaraka za kernel kuhusu TUN/TAP zinaelezea kifaa ambacho ukaguzi wa kwanza hujaribu. Hakuna moja ya hitilafu hizo mbili inayorekebishwa kwa kusakinisha tena kifurushi cha VPN.

Kumbuka kwamba njia ya kuingia ina wamiliki wawili

Kanuni za mtandao za mtoa huduma na firewall ya mgeni ni mifumo tofauti, na trafiki lazima ipite zote mbili. Msikilizaji aliyefungwa kwa mgeni haimaanishi kitu ikiwa kikundi cha usalama cha mtoa huduma kinatupa mlango, na kanuni iliyo wazi ya mtoa huduma haifanyi kitu ikiwa mgeni anakataa pakiti. Thibitisha msikilizaji, kisha kanuni za mgeni, kisha paneli ya mtoa huduma, kwa mpangilio huo, na uthibitishe itifaki pamoja na nambari ya mlango. Kuruka moja kwa moja kwenye paneli ya mtoa huduma ndiyo njia ambayo watu huishia kufungua masafa ambayo hawakuyahitaji.

UDP ndiye mwathirika wa kawaida: majukwaa mengi huruhusu TCP kwa chaguo-msingi na huchukulia kanuni za UDP kama ingizo tofauti. Ikiwa kipengele kiko nyuma ya NAT ya mtoa huduma badala ya kuwa na anwani ya umma, uelekezaji wa milango kwa upande wa mtoa huduma unakuwa usanidi wa tatu unaohitaji kupatanishwa.

Panga njia ya kurudi, sio tu ya kutoka

Huduma ya handaki kamili inahitaji uelekezaji umewezeshwa, mpango wa tafsiri au uelekezaji wa trafiki ya wateja, na njia ya kurudi inayofikia kundi la wateja. Kufungua msikilizaji hakupi kitu chochote kati ya hivi. Handaki linaloanzishwa lakini halibebi trafiki muhimu kwa kawaida hushindwa hapa, sio kwenye uthibitishaji. Chukulia makubaliano ya mkono yaliyofanikiwa kama mwanzo wa utambuzi, sio mwisho wake.

Andika mpango kama maamuzi matatu thabiti: ni masafa gani ya chanzo wateja wanapokea, jinsi trafiki yao inavyotoka kuelekea intaneti, na jinsi majibu yanavyopata njia ya kurudi. Kisha thibitisha kwamba kernel inakubaliana na mpango kabla ya kujaribu mteja, ili kutokubaliana kwa kimya kusichukuliwe kama hitilafu ya upande wa mteja.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Amua suala la IPv6 kwa uwazi

IPv6 huja kupitia mifumo kadhaa inayofanya kazi tofauti kwa lango: anwani kwenye kipengele, kiambishi awali kilichoelekezwa, au hakuna. Ni kiambishi awali kilichoelekezwa tu kinachomruhusu seva kuwapa wateja anwani kwa njia ya kawaida. Dhana kwamba anwani ya IPv6 inayofanya kazi kwenye mwenyeji inamaanisha kiambishi awali cha mteja kinachoweza kutumika ni kosa linaloonekana baadaye kama muunganisho uliovunjika nusu. Ni aina ya hitilafu inayopita kila jaribio linalofanywa na IPv4 pekee.

Ikiwa mtoa huduma haelekezi kiambishi awali chochote, amua kama handaki ni la IPv4 pekee na kama wateja wanapaswa kujulishwa. Kutokuwepo kuliandikwa ni salama zaidi kuliko usanidi wa sehemu unaotupa kimya maeneo ya IPv6 kwenye shimo jeusi kwa watumiaji waliofungwa.

Thibitisha kutoka kwa mteja wa nje

Hali ya huduma ya ndani inaelezea mchakato mmoja kwenye mwenyeji mmoja. Jaribio muhimu ni mteja aliyeidhinishwa kwenye mtandao mwingine, anayeunganisha kwa wasifu unaokusudia kusambaza, kisha kufikia programu na kutatua jina. Unganisha tena mara moja pia, kwa sababu handaki linalofanya kazi kwenye jaribio la kwanza tu halikidhi mahitaji muhimu zaidi kiutendaji.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Weka misingi ya uendeshaji kando ya jaribio: nafasi ya masasisho, kumbukumbu zenye mipaka, ufikiaji wa kiutawala usiotegemea handaki, koni ya kurejesha, na kidokezo kuhusu kile kinachotokea kwa wasifu wa wateja kipengele kinapojengwa upya na anwani yake ya umma inapobadilika. Ikiwa kiolesura au mtindo wa uelekezaji unaohitajika haupatikani kabisa, hakuna mabadiliko ya upande wa mteja yatakayolipa, na hatua inayofuata ya uaminifu ni aina nyingine ya kipengele sio usanidi zaidi.