VPN sunucunuz olarak yönlendirici mi ayrı bilgisayar mı: nasıl seçilir

Hem yönlendirici hem de küçük bir bilgisayar VPN'i sonlandırabilir ve karar nadiren aktarım hızına bağlıdır. Karar, güncellemeyi gece ikide kimin uyguladığına, o kutu yeniden başladığında başka neyin durduğuna ve bozulan şey tünelin kendisiyse hâlâ bir konsola ulaşıp ulaşamadığınıza bağlıdır. Her aday için bu üç soruyu yanıtlayın ve seçim genellikle kendiliğinden yapılır. Aşağıdaki yordam karşılaştırmayı, taahhüt vermeden önce kontrol edebileceğiniz şeylerin kısa bir listesine dönüştürür.

Tünel başarısız olduğunda neyin ayakta kalması gerektiğiyle başlayın

Tasarım yapılması gereken arıza, VPN sürecinin öldüğü ve yine de ana makineye ulaşmanız gereken durumdur. Yönlendiricide tünel ve internet ağ geçidi aynı kaderi paylaşır: kötü bir yapılandırma değişikliği ikisini de düşürebilir ve geri dönüş yolu genellikle fiziksel bir sıfırlamadır. Ayrı bir bilgisayarda ağ geçidi çalışmaya devam eder ve ana makineye LAN üzerinden hâlâ ulaşılabilir. Bu sonuçlardan hangisine katlanabildiğiniz, herhangi bir özellik listesinden daha fazlasını belirler.

Yanıtı tek bir cümle olarak yazın: VPN ana makinesi yeniden başlarsa ev veya ofis ne kaybeder? Yanıt tüm internet erişimini içeriyorsa paylaşılan bir arıza alanını kabul etmişsiniz demektir ve bunu sonradan keşfetmek yerine bilerek söylemelisiniz.

Aynı cihazdaki ikinci hizmet yedek bir konsol değildir. Güç kaynağını, firmware'i ve yönetici hesabını paylaşır.

Her ana makinenin eklediği bakım yüzeylerini sayın

Yönlendirici, kendi sürüm ritmine sahip üretici firmware'i ile gelir ve VPN özelliği genellikle çok daha büyük bir imajın içindeki tek bir modüldür. Bilgisayar bir işletim sistemi, paket yöneticisi, çekirdek ve artık size ait olan bir hizmet kümesiyle gelir. Her ikisi de yamaya ihtiyaç duyar ve asıl soru, yenilik geçtikten sonra hangi ritmi sürdüreceğinizdir.

Bir Linux ana makinesinde bu ritmi ummak yerine görünür kılın. systemctl list-timers planlanmış işleri gösterir ve apt list --upgradable neyin beklediğini gösterir. Hangi güncellemelerin yeniden başlatma gerektirdiğini not edin, çünkü yeniden başlayan bir VPN ana makinesi planlamadıysanız kesintidir. Otomatik güncelleme yolu olmayan bir yönlendirici bunun yerine bir takvim girdisine ihtiyaç duyar; bu daha zayıf bir denetimdir ama dürüsttür.

Hesapları da sayın. VPN ana makinesindeki her ek yönetici oturumu, döndürülecek bir kimlik bilgisi ve iptal edilecek bir yol daha demektir.

Özel ağın yolunu izleyin, kutunun etiketini değil

İstemciler sunucunun nerede çalıştığını umursamaz; korunan öneklerin erişilebilir olup olmadığını ve bir dönüş yolu bulunup bulunmadığını umursarlar. Sunucuyu yönlendirmenin en basit olduğu yere koyun; bu genellikle kaynakları tutan segmentin üzerine doğrudan yerleştirmek anlamına gelir. Yönlendiricinin arkasındaki bilgisayar hâlâ bağlantı noktası yönlendirmesine ihtiyaç duyar ve o LAN'daki kaynaklar hâlâ tünel alt ağına dönüş rotasına ihtiyaç duyar.

İstemciyi suçlamadan önce ana makinedeki yönlendirmeyi kontrol edin. sysctl net.ipv4.ip_forward 1 bildirmelidir ve nft list ruleset veya iptables -S tünel arayüzünün yönlendirmeye izinli olup olmadığını gösterir. Eksik bir masquerade kuralı istemci tarafından tam olarak bozuk bir tünel gibi görünür.

Tünelin nelere ulaşmaması gerektiğine de karar verin. Yönlendiriciye yerleştirilen bir sunucu, o yönlendiricinin yönlendirdiği her alt ağı görür ve bu genellikle erişim ilkesinin amaçladığından fazladır. Ayrı bir ana makinede aynı yalıtım bir güvenlik duvarı kuralı uzaklıktadır ve ele geçirilmiş bir istemcinin hasar yarıçapı daha küçüktür. IPsec ağ geçidi açıklaması RFC 7296'da bunu donanım değil, yönlendirme ve ilke sorunu olarak ele alır ve ilke yazıya dökülene kadar iki biçimden hiçbiri varsayılan olarak daha güvenli değildir.

Tünele bağlı olmayan bir kurtarma konsolu bulundurun

VPN'i onarmak için kullandığınız konsol VPN'in kendisi olamaz. Tünel çökmüşken çalışan bir LAN adresi, seri konsol veya sağlayıcı konsolu bulundurun ve ihtiyaç duymadan önce en az bir kez kullanın. Hiç denenmemiş bant dışı bir yol, yetenek değil plandır.

Yapılandırmanın yedeğini ana makinenin kendisinin silemeyeceği bir yerde alın. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn anahtarları ve hizmet tanımlarını yakalar ve kopya makineden çıkmalıdır. Güvenlik duvarı kurallarını ve istemci envanterini ekleyin, çünkü anahtarları eş listesi olmadan geri yüklemek kimsenin katılamadığı bir sunucu üretir. Arşivi kurtarma konsolunun ulaşabileceği bir yerde saklayın.

Geri alma adımını aynı nota yazın. Belgelenmiş bir geri dönüşü olmayan yapılandırma değişikliği, niyet ne olursa olsun kalıcı bir değişikliktir.

Seçimi bir yeniden başlatma ve güncellemeyle doğrulayın

Düzenlemeyi iyi bir günde nasıl çalıştığıyla değil, nasıl başarısız olacağıyla test edin. Ana makineyi yeniden başlatın, bekleyen bir güncellemeyi uygulayın ve tünelin elle adım olmadan geri döndüğünü doğrulayın.

Yeniden başlatmadan sonra en sık bozulan üç şeyi kontrol edin. systemctl is-active wg-quick@wg0 arayüzün geri dönüp dönmediğini bildirir, ss -lunp bağlantı noktasında bir şeyin dinleyip dinlemediğini gösterir ve wg show el sıkışması tamamlanmış bir eşi listeler. Etkin ama el sıkışması olmayan bir hizmet, güvenlik duvarının veya rotanın yanlış olduğu anlamına gelir, arka plan programının değil.

Kontrolü, yapılandırdığınız ağdan farklı bir ağdaki istemciden yineleyin. Tünel bir yeniden başlatmayı, bir güncellemeyi ve istemci ağı değişikliğini atlatırsa ana makine seçimi şimdilik kesinleşir. Atlatamazsa, eksik parça genellikle başka bir kutu değil, belgelenmiş bir adımdır.