Що потрібно, перш ніж розмістити власний VPN-сервер?

Встановлення серверного програмного забезпечення — найкоротша частина самостійно розміщеного VPN, і саме з цього кроку люди починають. Чи працюватиме розгортання, залежить від того, чи дістанеться клієнт до кінцевої точки, чого цей клієнт може досягти після і як ви повернетеся всередину, коли зламався саме тунель. Улагодьте всі три питання, перш ніж запуститься менеджер пакетів.

Два з них — проєктні рішення, а третє — експлуатаційна звичка. Усі три дешевше виправити на папері, ніж під час збою.

Вирішіть, чого мають досягати клієнти

Серверу віддаленого доступу потрібен маршрут у приватну мережу, яку він анонсує, і зворотний шлях для відповідей, що робить його маршрутизатором цієї мережі, а не просто слухачем. Серверу виходу в інтернет потрібне пересилання плюс схема адресації або трансляції, а завершене рукостискання не дає ні того, ні іншого. Виберіть завдання раніше за топологію, бо два проєкти різняться маршрутизацією, правилами міжмережевого екрана і тим, що клієнт надсилає через тунель. Сервер, від якого вимагають обох, потребує обох наборів правил і відповідного поділу маршруту клієнта за замовчуванням.

Виберіть діапазони тунелю і LAN, які не можуть зіткнутися з мережами, що їх ваші клієнти вже використовують, оскільки ноутбук, який уже має 192.168.1.0/24, продовжить використовувати цей маршрут замість тунелю, що видає той самий префікс. Перевіряйте IPv4 і IPv6 окремо, бо багато хто робить перше правильно і ніколи не помічає друге. Там, де сервер стоїть за іншим маршрутизатором, підтвердьте доступність ззовні, а не покладайтеся на одне пересилання порту, яке опише кожен рівень.

Ідентичності, ключі і шлях назад

Видавайте окрему ідентичність для кожного пристрою там, де це підтримує програмне забезпечення, щоб втрачений ноутбук означав відкликання одного вузла, а не перескладання сервера. Приватні ключі належать захищеному сховищу і ніколи профілю, вставленому в повідомлення чату. Шлях відновлення — це та частина, яку люди пропускають: доступ до консолі, послідовна консоль або інтерфейс керування поза смугою, що не залежить від тунелю. Без нього погане правило міжмережевого екрана перетворює невелику зміну на виїзд на місце.

Напишіть процедуру видалення одночасно з процедурою підключення. Відкликання пристрою — операція, яка вам рано чи пізно знадобиться, і її легше описати, поки налаштування ще свіже.

Кінцева точка вдома чи орендована?

Три умови вирішують між розміщенням удома й орендою невеликого інстансу. Перша — чи взагалі доходять вхідні з'єднання до вашої мережі, оскільки трансльований вхідний канал рівня оператора або обмежувальна мережа будівлі виключають цю можливість. Друга — чи має вихід з'являтися деінде, ніж у вашому місті, бо це змінює лише орендована кінцева точка. Третя — готовність до других довірчих відносин, оскільки хостинг-провайдер входить у модель і може спостерігати за кінцевою точкою, навіть коли не може читати трафік.

Якщо перша умова виконана, а друга неістотна, розміщення вдома — коротший шлях. Орендована кінцева точка купує місцеположення й доступність, а не конфіденційність саму по собі.

Доведіть це одним клієнтом і перезапуском

Підніміть одного клієнта, підтвердьте ресурс, до якого він має дістатися, і підтвердьте, що він перестає досягати того, чого не повинен. Команди нижче показують стан вузлів, маршрути, встановлені сервером, і чи ввімкнене пересилання. Виконайте їх, перш ніж підключати когось іншого.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Вузол із недавнім рукостисканням підключений, тоді як вузол без рукостискання ніколи не домовлявся, і це різні відмови. Вимкнене пересилання пояснює тунель, який піднімається і нічого не несе, тож перевірте сервер, перш ніж звинувачувати клієнта. Відсутній слухач означає, що служба не запустилася з конфігурацією, яку ви припускаєте. Потім навмисно перезапустіть сервер і повторіть увесь набір, бо тунель, що працює лише до перезапуску, — частий результат перевірки щасливого шляху.

Запишіть кінцеву точку, вузли, діапазони й метод відновлення на одній сторінці. Ця сторінка — настанова, яку ви прочитаєте в найменш зручний момент.