Router o hiwalay na computer bilang iyong VPN server: paano pumili

Parehong router at maliit na computer ay maaaring magtapos ng VPN, at bihirang nakasalalay sa throughput ang desisyon. Nakasalalay ito sa kung sino ang naglalapat ng update alas-dos ng madaling araw, ano pa ang tumitigil kapag nag-boot muli ang kahon na iyon, at kung maaabot mo pa rin ang console kapag ang tunnel mismo ang nasira. Sagutin ang tatlong tanong na iyon para sa bawat kandidato at kadalasan ay kusang nagagawa ang pagpili. Ang pamamaraan sa ibaba ay ginagawang maikling listahan ng mga bagay na maaari mong suriin bago ka magpasyos.

Magsimula sa dapat manatiling tumatakbo kapag nabigo ang tunnel

Ang kabiguang dapat pagplanuhan ay ang sitwasyon kung saan namatay ang proseso ng VPN at kailangan mo pa ring maabot ang host. Sa router, ang tunnel at ang internet gateway ay may iisang kapalaran: isang masamang pagbabago sa configuration ay maaaring magpabagsak sa dalawa, at ang daan pabalik ay kadalasang pisikal na reset. Sa hiwalay na computer, patuloy na gumagana ang gateway at naaabot pa rin ang host sa pamamagitan ng LAN. Alin sa mga resultang ito ang kaya mong tiisin ang nagtatakda ng higit pa sa anumang listahan ng feature.

Isulat ang sagot bilang isang pangungusap: kung mag-boot muli ang host ng VPN, ano ang nawawala sa tahanan o opisina? Kung kasama sa sagot ang lahat ng access sa internet, tinanggap mo ang isang pinagsasaluhang domain ng pagkasira at dapat mong sabihin ito nang sadya sa halip na matuklasan ito mamaya.

Ang pangalawang serbisyo sa parehong device ay hindi backup na console. Hinahati nito ang power supply, firmware at administrator account.

Bilangin ang mga ibabaw ng maintenance na idinaragdag ng bawat host

Ang router ay may firmware ng manufacturer na may sariling ritmo ng release, at ang feature ng VPN ay karaniwang isang module sa loob ng mas malaking image. Ang computer ay may operating system, package manager, kernel at isang set ng mga serbisyo na pag-aari mo na ngayon. Parehong kailangan ng patch, at ang tunay na tanong ay aling ritmo ang pananatilihin mo kapag lumipas ang bago.

Sa isang Linux host, gawing nakikita ang ritmong iyon sa halip na umasa dito. systemctl list-timers ay nagpapakita ng mga naka-iskedyul na trabaho at apt list --upgradable ay nagpapakita ng naghihintay. Itala kung aling mga update ang kailangan ng muling pag-boot, dahil ang host ng VPN na nag-boot muli ay isang pagkagambala maliban kung pinlano mo ito. Ang router na walang awtomatikong daan ng update ay kailangan ng entry sa kalendaryo sa halip, na mas mahinang kontrol ngunit tapat.

Bilangin din ang mga account. Ang bawat karagdagang pag-login ng administrator sa host ng VPN ay isa pang kredensyal na iikot at isa pang landas na pawalang-bisa.

Sundin ang landas ng pribadong network, hindi ang label sa kahon

Walang pakialam ang mga kliyente kung saan tumatakbo ang server; ang pakialam nila ay kung naaabot ang mga protektadong prefix at kung may daan pabalik. Ilagay ang server kung saan pinakasimple ang routing, na karaniwang nangangahulugang direkta sa segment na may hawak ng mga resource. Ang computer sa likod ng router ay kailangan pa rin ng port forwarding, at ang mga resource sa LAN na iyon ay kailangan pa rin ng ruta pabalik sa subnet ng tunnel.

Suriin ang forwarding sa host bago sisihin ang kliyente. sysctl net.ipv4.ip_forward ay dapat mag-ulat ng 1, at nft list ruleset o iptables -S ay nagpapakita kung pinapayagan ang interface ng tunnel na mag-forward. Ang nawawalang panuntunan ng masquerade ay mukhang sirang tunnel mula sa panig ng kliyente.

Magpasya rin kung ano ang hindi dapat maabot ng tunnel. Ang server na inilagay sa router ay nakikita ang bawat subnet na niruruta ng router na iyon, at kadalasan ito ay higit pa sa sinasadya ng patakaran sa access. Sa hiwalay na host, ang parehong paghihiwalay ay isang panuntunan ng firewall ang layo, at ang radius ng pinsala mula sa kompromisong kliyente ay mas maliit. Ang paglalarawan ng IPsec gateway sa RFC 7296 ay itinuturing ito bilang usapin ng routing at patakaran, hindi hardware, at walang alinman sa dalawang anyo ang mas ligtas bilang default hanggang maisulat ang patakaran.

Panatilihin ang console ng pagbawi na hindi nakadepende sa tunnel

Ang console na ginagamit mo sa pag-aayos ng VPN ay hindi maaaring maging VPN mismo. Panatilihin ang isang LAN address, serial console o console ng provider na gumagana habang down ang tunnel, at gamitin ito nang hindi bababa sa isang beses bago mo kailanganin. Ang landas na labas ng banda na hindi kailanman naisagawa ay plano at hindi kakayahan.

Gumawa ng backup ng configuration sa lugar na hindi kayang burahin ng host mismo. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn ay kumukuha ng mga key at service definition, at ang kopya ay dapat lumabas ng makina. Isama ang mga panuntunan ng firewall at ang imbentaryo ng kliyente, dahil ang pagbabalik ng mga key na walang listahan ng peer ay gumagawa ng server na walang makakasali. Itabi ang archive kung saan maaabot ito ng console ng pagbawi.

Isulat ang hakbang ng rollback sa parehong tala. Ang pagbabago sa configuration na walang dokumentadong pag-urong ay permanenteng pagbabago, anuman ang layunin.

I-verify ang pagpili sa pamamagitan ng muling pag-boot at update

Subukan ang kaayusan kung paano ito mabibigo, hindi kung paano ito gumagana sa magandang araw. Muling i-boot ang host, ilapat ang nakabinbing update, at kumpirmahin na bumabalik ang tunnel nang walang manu-manong hakbang.

Pagkatapos ng muling pag-boot, suriin ang tatlong bagay na pinakamadalas masira. systemctl is-active wg-quick@wg0 ay nag-uulat kung bumalik ang interface, ss -lunp ay nagpapakita kung may nakikinig sa port, at wg show ay naglista ng peer na may kumpletong handshake. Ang serbisyong aktibo ngunit walang handshake ay nangangahulugang mali ang firewall o ruta, hindi ang daemon.

Ulitin ang pagsusuri mula sa kliyente sa ibang network kaysa sa ginamit mo sa pag-configure. Kung nakaligtas ang tunnel sa muling pag-boot, update at pagbabago ng network ng kliyente, ang pagpili ng host ay settled sa ngayon. Kung hindi, ang nawawalang piraso ay karaniwang dokumentadong hakbang at hindi ibang kahon.