Маршрутизатор чи окремий комп’ютер як ваш VPN-сервер: як вибрати

І маршрутизатор, і невеликий комп’ютер можуть завершувати VPN, і рішення рідко залежить від пропускної здатності. Воно залежить від того, хто застосовує оновлення о другій годині ночі, що ще зупиняється під час перезавантаження цієї коробки і чи можна ще дістатися до консолі, коли зламався сам тунель. Дайте відповідь на ці три питання для кожного кандидата, і вибір зазвичай робиться сам. Наведена нижче процедура перетворює порівняння на короткий список того, що можна перевірити до зобов’язання.

Почніть з того, що має залишатися в роботі, коли тунель відмовляє

Відмова, під яку треба проєктувати, — це та, коли процес VPN помирає, а вам усе одно треба дістатися до хоста. На маршрутизаторі тунель і інтернет-шлюз поділяють одну долю: одна невдала зміна конфігурації може покласти обидва, а шлях відновлення часто фізичне скидання. На окремому комп’ютері шлюз продовжує працювати, а хост усе ще доступний через LAN. Який із цих результатів ви можете витримати, вирішує більше, ніж будь-який список функцій.

Запишіть відповідь одним реченням: якщо VPN-хост перезавантажиться, що втрачає дім або офіс? Якщо відповідь включає весь доступ до інтернету, ви прийняли спільний домен відмови і маєте сказати це навмисно, а не виявити пізніше.

Друга служба на тому самому пристрої — не резервна консоль. Вона ділить блок живлення, прошивку й обліковий запис адміністратора.

Порахуйте поверхні обслуговування, які додає кожен хост

Маршрутизатор приносить прошивку виробника з власним ритмом випусків, а функція VPN зазвичай один модуль усередині значно більшого образу. Комп’ютер приносить операційну систему, менеджер пакетів, ядро і набір служб, які тепер належать вам. Обидвом потрібні латки, і справжнє питання в тому, який ритм ви витримаєте, коли новизна зникне.

На хості з Linux зробіть цей ритм видимим, а не сподівайтеся на нього. systemctl list-timers показує заплановані завдання, а apt list --upgradable показує, що чекає. Записуйте, які оновлення потребують перезавантаження, бо VPN-хост, що перезавантажується, — це простій, якщо ви його не планували. Маршрутизатору без автоматичного шляху оновлень потрібен натомість запис у календарі, що є слабшим контролем, але чесним.

Порахуйте й облікові записи. Кожен додатковий вхід адміністратора на VPN-хості — це ще один секрет для ротації і ще один шлях для відкликання.

Стежте за шляхом у приватній мережі, а не за наклейкою на коробці

Клієнтам байдуже, де працює сервер; їм важливо, чи доступні захищені префікси і чи існує зворотний шлях. Поставте сервер туди, де маршрутизація найпростіша, що зазвичай означає безпосередньо на сегменті, який тримає ресурси. Комп’ютеру за маршрутизатором усе ще потрібне переспрямування порту, а ресурсам у цій LAN усе ще потрібен маршрут назад до підмережі тунелю.

Перевірте переспрямування на хості, перш ніж звинувачувати клієнта. sysctl net.ipv4.ip_forward має повідомляти 1, а nft list ruleset або iptables -S показує, чи взагалі дозволено інтерфейсу тунелю переспрямовувати. Відсутнє правило masquerade виглядає з боку клієнта точно як зламаний тунель.

Вирішіть і те, куди тунель не повинен діставатися. Сервер, розміщений на маршрутизаторі, бачить кожну підмережу, яку маршрутизує цей маршрутизатор, і це часто більше, ніж передбачає політика доступу. На окремому хості та сама ізоляція за одне правило брандмауера, а радіус ураження від скомпрометованого клієнта менший. Опис IPsec-шлюзу в RFC 7296 розглядає це як питання маршрутизації та політики, а не обладнання, і жодна з форм не безпечніша за замовчуванням, поки політика не записана.

Тримайте консоль відновлення, яка не залежить від тунелю

Консоль, якою ви лагодите VPN, не може бути самим VPN. Тримайте LAN-адресу, послідовну консоль або консоль провайдера, яка працює, поки тунель лежить, і використайте її хоча б раз до того, як вона знадобиться. Шлях поза смугою, який жодного разу не відпрацьовували, — це план, а не можливість.

Зробіть резервну копію конфігурації там, звідки сам хост не зможе її видалити. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn захоплює ключі та визначення служб, і копія має залишити машину. Включіть правила брандмауера й опис клієнтів, бо відновлення ключів без списку партнерів дає сервер, до якого ніхто не може приєднатися. Зберігайте архів там, звідки консоль відновлення може його дістати.

Запишіть крок відкату в ту саму нотатку. Зміна конфігурації без задокументованого відкату — це постійна зміна, яким би не був намір.

Перевірте вибір перезавантаженням і оновленням

Перевіряйте пристрій так, як він відмовить, а не так, як він працює в добрий день. Перезавантажте хост, застосуйте очікуване оновлення і підтвердьте, що тунель повертається без ручних кроків.

Після перезавантаження перевірте три речі, які ламаються найчастіше. systemctl is-active wg-quick@wg0 повідомляє, чи повернувся інтерфейс, ss -lunp показує, чи щось слухає порт, а wg show перелічує партнера із завершеним рукостисканням. Активна служба без рукостискання означає, що брандмауер або маршрут неправильні, а не демон.

Повторіть перевірку з клієнта в іншій мережі, ніж та, з якої ви налаштовували. Якщо тунель переживе перезавантаження, оновлення і зміну клієнтської мережі, вибір хоста наразі вирішено. Якщо ні, відсутня частина зазвичай задокументований крок, а не інша коробка.