Ano ang kailangan mo bago i-host ang sarili mong VPN server?

Ang pag-install ng server software ang pinakamaikling bahagi ng isang self-hosted na VPN, at ito ang hakbang na sinisimulan ng mga tao. Nakadepende sa kung maaabot ng kliyente ang endpoint, kung ano ang maaabot ng kliyenteng iyon pagkatapos at kung paano ka muling papasok kapag ang tunnel mismo ang nasira kung gagana ang deployment. Ayusin ang tatlo bago tumakbo ang package manager.

Dalawa sa kanila ay desisyon sa disenyo at ang pangatlo ay ugali sa operasyon. Lahat ng tatlo ay mas mura ayusin sa papel kaysa sa oras ng pagkaantala.

Magpasya kung ano ang dapat maabot ng mga kliyente

Kailangan ng remote-access server ng ruta papunta sa pribadong network na inaanunsyo nito at daan pabalik para sa mga sagot, kaya nagiging router ito para sa network na iyon at hindi lamang tagapakinig. Kailangan ng internet-exit server ng forwarding at isang kaayusan sa pag-address o pagsasalin, at ang isang kumpletong handshake ay wala sa dalawa. Piliin ang gawain bago ang topolohiya, dahil nagkakaiba ang dalawang disenyo sa routing, sa mga tuntunin ng firewall at sa ipinapadala ng kliyente sa tunnel. Ang server na hihilingin ng dalawa ay kailangan ang dalawang set ng tuntunin at tugmang paghahati ng default na ruta ng kliyente.

Pumili ng saklaw ng tunnel at LAN na hindi maaaring bumangga sa mga network na ginagamit na ng iyong mga kliyente, dahil ang laptop na mayroon nang 192.168.1.0/24 ay patuloy na gagamit ng rutang iyon sa halip na isang tunnel na namamahagi ng parehong prefix. Suriin nang hiwalay ang IPv4 at IPv6, dahil marami ang tama sa una at hindi napapansin ang pangalawa. Kung nasa likod ng ibang router ang server, tiyakin ang maabot mula sa labas sa halip na umasa sa isang port-forward upang ilarawan ang bawat layer.

Mga pagkakakilanlan, susi at daan pabalik

Maglabas ng hiwalay na pagkakakilanlan sa bawat aparato kung saan sinusuportahan ito ng software, upang ang nawawalang laptop ay mangahulugan ng pagbawi ng isang peer sa halip na muling pagbuo ng server. Ang mga pribadong susi ay nabibilang sa protektadong imbakan at hindi kailanman sa profile na idinikit sa isang chat message. Ang daan ng pagbawi ang bahaging nilalaktawan ng mga tao: access sa console, serial console o out-of-band na interface ng pamamahala na hindi umaasa sa tunnel. Kung wala ito, ang masamang tuntunin ng firewall ay ginagawang pagbisita sa lugar ang maliit na pagbabago.

Isulat ang pamamaraan ng pagtanggal kasabay ng pamamaraan ng pagpapatala. Ang pagbawi ng aparato ay operasyong kakailanganin mo balang araw, at mas madaling ilarawan habang sariwa pa ang setup.

Endpoint sa bahay o inuupahan?

Tatlong kondisyon ang nagpapasya sa pagitan ng pag-host sa bahay at pag-upa ng maliit na instance. Ang una ay kung nararating man ng mga papasok na koneksyon ang iyong network, dahil inaalis ng carrier-grade na isinaling uplink o ng mahigpit na network ng gusali ang opsiyong iyon. Ang pangalawa ay kung kailangang lumitaw ang exit sa ibang lugar kaysa sa iyong sariling lungsod, dahil ang inuupahang endpoint lamang ang nagbabago niyan. Ang pangatlo ay ang gana sa pangalawang ugnayan ng tiwala, dahil ang hosting provider ay sumasali sa modelo at maaaring magmasid sa endpoint kahit hindi nito mabasa ang trapiko.

Kung natutugunan ang unang kondisyon at walang kaugnayan ang pangalawa, ang pag-host sa bahay ang mas maikling daan. Ang inuupahang endpoint ay bumibili ng lokasyon at kakayahang magamit, hindi ng privacy nang mag-isa.

Patunayan ito sa isang kliyente at isang restart

Magpatakbo ng isang kliyente, tiyakin ang resource na dapat nitong maabot at tiyakin na tumitigil itong maabot ang hindi dapat. Ipinapakita ng mga utos sa ibaba ang estado ng peer, ang mga rutang inilagay ng server at kung naka-enable ang forwarding. Patakbuhin ang mga ito bago magpatala ng ibang tao.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Ang peer na may kamakailang handshake ay konektado, samantalang ang peer na walang handshake ay hindi kailanman nakipagnegosasyon, at magkaibang pagkasira ang mga iyon. Ang patay na forwarding ay nagpapaliwanag ng tunnel na bumabangon at walang dinadala, kaya suriin ang server bago sisihin ang kliyente. Ang nawawalang tagapakinig ay nangangahulugang hindi nagsimula ang serbisyo sa konfigurasyong inaakala mo. Pagkatapos ay sadyang i-restart ang server at ulitin ang buong set, dahil ang tunnel na gumagana lamang hanggang restart ay karaniwang resulta ng pagsubok sa masuwerteng daan.

Itala ang endpoint, ang mga peer, ang mga saklaw at ang paraan ng pagbawi sa isang pahina. Ang pahinang iyon ang runbook na babasahin mo sa pinakamahirap na sandali.