VPS'nizin VPN'inizi Barındırması İçin Neye İzin Vermesi Gerekir

Örnek önyükleniyor, paket kurulumları başarılı oluyor ve hizmet çalışır durumda olduğunu bile bildiriyor, ancak hiçbir şey bağlanmıyor. Bu desen sanal özel sunucularda yaygındır, çünkü internete rahatça ulaşan bir konuk yine de protokolünüzün istediği arabirimi oluşturamayabilir. Beş kontrol, tünel hizmeti verebilen bir ana bilgisayarı yalnızca hazır görünen bir ana bilgisayardan ayırır ve ilk başarısız kontrol genellikle sonrasındaki her şeyi açıklar. Her biri çalıştırması ucuzdur ve bir notla değil bir kararla biter.

Protokolün ihtiyaç duyduğu arabirimi doğrulayın

OpenVPN TUN üzerinde çalışmak için karakter aygıtı ve arkasındaki çekirdek modülü gerekir; WireGuard kendi çekirdek desteğine veya beklentileri uyuşan bir kullanıcı alanı uygulamasına ihtiyaç duyar. Yönetilen konteynerler aygıtı hiç açığa çıkarmayan bir ana bilgisayar çekirdeğini paylaşabilir ve bazı platformlar ne kurulu olursa olsun tünel arabirimleri oluşturmayı tamamen yasaklar.

Destek sayfası okumak yerine yeteneği test edin, çünkü pazarlama etiketleri alttaki sınırlardan daha hızlı değişir. Bir plan için yazılmış özellik listesi, konuğun gerçekte çalıştığı çekirdeği tanımlamayabilir. İki kısa komut yaygın protokoller için soruyu yanıtlar ve ikisi de arkasını temizler. Aşağıdaki komutlar kalıcı bir şey oluşturmaz ve hemen kaldırılır.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

İlk çiftte ret, TUN'un kullanılamadığı ve OpenVPN'in varsayılan modunun başlayamadığı anlamına gelir; son satırdaki ret, WireGuard çekirdek arabiriminin eksik olduğu anlamına gelir. Çekirdeğin TUN/TAP belgeleri ilk kontrolün denediği aygıtı açıklar. İki hatanın hiçbiri VPN paketini yeniden kurarak giderilmez.

Gelen yolun iki sahibi olduğunu unutmayın

Sağlayıcının ağ kuralları ve konuğun güvenlik duvarı ayrı sistemlerdir ve trafik ikisini de atlatmalıdır. Konukta bağlanan bir dinleyici, sağlayıcının güvenlik grubu bağlantı noktasını düşürürse hiçbir anlam taşımaz ve açık bir sağlayıcı kuralı, konuk paketi reddederse hiçbir şey yapmaz. Dinleyiciyi, ardından konuğun kurallarını, ardından sağlayıcı panelini bu sırayla doğrulayın ve hem protokolü hem de bağlantı noktası numarasını onaylayın. Doğrudan sağlayıcı paneline atlamak, insanların ihtiyaç duymadıkları bir aralığı açmasının yoludur.

UDP olağan kurbandır: birçok platform TCP'ye varsayılan olarak izin verir ve UDP kurallarını ayrı bir girdi sayar. Örnek, genel bir adrese sahip olmak yerine sağlayıcının NAT'ı arkasındaysa, sağlayıcı tarafında bağlantı noktası yönlendirme uzlaştırılması gereken üçüncü yapılandırma olur.

Dönüş yolunu planlayın, yalnızca çıkışı değil

Tam tünel hizmeti etkin yönlendirme, istemci trafiği için bir çeviri veya yönlendirme şeması ve istemci havuzuna ulaşan bir dönüş yolu gerektirir. Bir dinleyici açmak bunların hiçbirini sağlamaz. Kurulan ama yararlı trafik taşımayan tünel genellikle kimlik doğrulamada değil burada başarısız olur. Başarılı bir el sıkışmayı tanının sonu değil başlangıcı olarak görün.

Planı üç somut karar olarak yazın: istemcilerin hangi kaynak aralığını aldığı, trafiklerinin internete nasıl çıktığı ve yanıtların dönüş yolunu nasıl bulduğu. Ardından bir istemciyi test etmeden önce çekirdeğin planla aynı fikirde olduğunu onaylayın, böylece sessiz bir uyumsuzluk istemci tarafı arıza sanılmasın.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

IPv6 konusuna açıkça karar verin

IPv6 bir ağ geçidi için farklı davranan birkaç mekanizmadan gelir: örnekteki bir adres, yönlendirilmiş bir önek veya hiçbiri. Yalnızca yönlendirilmiş bir önek, sunucunun istemcilere adresleri olağan şekilde vermesini sağlar. Ana bilgisayarda çalışan bir IPv6 adresinin kullanılabilir bir istemci öneki anlamına geldiği varsayımı, daha sonra yarı kırık bağlantı olarak ortaya çıkan bir hatadır. Yalnızca IPv4 ile yapılan her testi atlatan türden bir arızadır.

Sağlayıcı hiçbir önek yönlendirmiyorsa, tünelin yalnızca IPv4 olup olmadığına ve istemcilere bunun söylenip söylenmeyeceğine karar verin. Belgelenmiş bir yokluk, bağlı kullanıcılar için IPv6 hedeflerini sessizce kara deliğe gönderen kısmi bir yapılandırmadan daha güvenlidir.

Bunu harici bir istemciden kanıtlayın

Yerel hizmet durumu bir ana bilgisayarda bir süreci tanımlar. Yararlı test, farklı bir ağdaki yetkili bir istemcinin dağıtmayı planladığınız profille bağlanması, ardından bir uygulamaya ulaşması ve bir adı çözmesidir. Bir kez de yeniden bağlanın, çünkü yalnızca ilk denemede çalışan bir tünel pratikte en çok önem taşıyan gereksinimi karşılamaz.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Testin yanında operasyonel temelleri tutun: güncellemeler için yer, sınırlı günlükler, tünele bağlı olmayan yönetici erişimi, bir kurtarma konsolu ve örnek yeniden oluşturulduğunda ve genel adresi değiştiğinde istemci profillerine ne olduğuna dair bir not. Gerekli bir arabirim veya yönlendirme modeli gerçekten yoksa, hiçbir istemci tarafı değişikliği bunu sağlamaz ve dürüst sonraki adım daha fazla yapılandırma değil başka bir örnek türüdür.