VPS VPN-ingizni joylashtirishdan oldin nimaga ruxsat berishi kerak

Instans yuklanadi, paketlarni o'rnatish muvaffaqiyatli bo'ladi va xizmat hatto ishlayotgan holatni ham xabar qiladi, ammo hech narsa ulanmaydi. Bu naqsh virtual xususiy serverlarda keng tarqalgan, chunki internetga bemalol chiqadigan mehmon ham protokolingiz talab qiladigan interfeysni yaratishga qodir bo'lmasligi mumkin. Beshta tekshiruv tunnelga xizmat qila oladigan xostni faqat tayyor ko'rinadigan xostdan ajratadi, va birinchi muvaffaqiyatsiz tekshiruv odatda undan keyingi hamma narsani tushuntiradi. Har biri ishga tushirishda arzon va eslatma emas, qaror bilan tugaydi.

Protokolga kerak bo'lgan interfeysni tasdiqlang

OpenVPN TUN ustida ishlash uchun belgi qurilmasi va uning orqasidagi yadro moduli kerak; WireGuard o'z yadro qo'llab-quvvatlashini yoki mos kutishlar bilan foydalanuvchi makonidagi amalga oshirishni talab qiladi. Boshqariladigan konteynerlar qurilmani hech qachon ochmaydigan xost yadrosini bo'lishishi mumkin, va ba'zi platformalar nima o'rnatilganidan qat'i nazar tunnel interfeyslarini yaratishni butunlay taqiqlaydi.

Qo'llab-quvvatlash sahifasini o'qish o'rniga qobiliyatni sinab ko'ring, chunki marketing yorliqlari asosiy cheklovlardan tezroq o'zgaradi. Bitta reja uchun yozilgan funksiyalar ro'yxati mehmon aslida ishlaydigan yadroni tasvirlamasligi mumkin. Ikki qisqa buyruq keng qo'llaniladigan protokollar uchun savolga javob beradi, ikkalasi ham orqasini tozalaydi. Quyidagi buyruqlar doimiy hech narsa yaratmaydi va darhol olib tashlanadi.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Birinchi juftlikda rad javobi TUN mavjud emasligini va OpenVPN ning standart rejimi boshlana olmasligini bildiradi; oxirgi satrda rad javobi WireGuard yadro interfeysi yo'qligini bildiradi. Yadroning TUN/TAP bo'yicha hujjati birinchi tekshiruv sinaydigan qurilmani tavsiflaydi. Ikkala nosozlikning hech biri VPN paketini qayta o'rnatish bilan tuzatilmaydi.

Kiruvchi yo'lda ikki egasi borligini unutmang

Provayderning tarmoq qoidalari va mehmonning tarmoq to'sig'i alohida tizimlar, va trafik ikkalasidan o'tishi kerak. Mehmonda bog'langan tinglovchi provayderning xavfsizlik guruhi portni tashlasa hech narsani anglatmaydi, va ochiq provayder qoidasi mehmon paketni rad etsa hech narsa qilmaydi. Tinglovchini, so'ngra mehmon qoidalarini, so'ngra provayder panelini shu tartibda tekshiring va port raqami bilan birga protokolni ham tasdiqlang. To'g'ridan-to'g'ri provayder paneliga sakrash odamlarning kerak bo'lmagan diapazonni ochish yo'lidir.

UDP odatiy qurbon: ko'plab platformalar sukut bo'yicha TCP ga ruxsat beradi va UDP qoidalarini alohida yozuv deb biladi. Agar instans ochiq manzilga ega bo'lish o'rniga provayder NAT i orqasida bo'lsa, provayder tomonida portlarni yo'naltirish kelishilishi kerak bo'lgan uchinchi konfiguratsiyaga aylanadi.

Qaytish yo'lini rejalashtiring, faqat chiqishni emas

To'liq tunnel xizmati yoqilgan yo'naltirishni, mijoz trafigi uchun tarjima yoki marshrutlash sxemasini va mijozlar to'plamiga yetib boradigan qaytish yo'lini talab qiladi. Tinglovchini ochish bularning hech birini bermaydi. O'rnatiladigan, lekin foydali trafik tashimaydigan tunnel odatda autentifikatsiyada emas, shu yerda muvaffaqiyatsiz bo'ladi. Muvaffaqiyatli qo'l siqishni diagnostika oxiri emas, boshlanishi deb biling.

Rejani uchta aniq qaror sifatida yozing: mijozlar qaysi manba diapazonini oladi, ularning trafigi internetga qanday chiqadi va javoblar qaytish yo'lini qanday topadi. So'ngra mijozni sinashdan oldin yadro reja bilan rozi ekanini tasdiqlang, shunda jim nomuvofiqlik mijoz tomonidagi nosozlik deb hisoblanmaydi.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

IPv6 masalasini aniq hal qiling

IPv6 shlyuz uchun turlicha xatti-harakat qiladigan bir necha mexanizm orqali keladi: instansdagi manzil, marshrutlangan prefiks yoki umuman hech narsa. Faqat marshrutlangan prefiks serverga mijozlarga manzillarni odatdagi tarzda berish imkonini beradi. Xostda ishlaydigan IPv6 manzili foydalanish mumkin bo'lgan mijoz prefiksini bildiradi degan taxmin keyinchalik yarim buzilgan ulanish sifatida namoyon bo'ladigan xatodir. Bu faqat IPv4 bilan o'tkaziladigan har bir sinovdan omon qoladigan nosozlik turidir.

Agar provayder hech qanday prefiksni marshrutlamasa, tunnel faqat IPv4 mi va mijozlarga buni aytish kerakmi, hal qiling. Hujjatlashtirilgan yo'qlik ulangan foydalanuvchilar uchun IPv6 manzillarni jimgina qora tuynukka tashlaydigan qismiy konfiguratsiyadan xavfsizroq.

Buni tashqi mijozdan isbotlang

Mahalliy xizmat holati bitta xostdagi bitta jarayonni tasvirlaydi. Foydali sinov boshqa tarmoqdagi vakolatli mijoz bo'lib, u siz tarqatmoqchi bo'lgan profil bilan ulanadi, so'ngra ilovaga yetib boradi va nomni hal qiladi. Bir marta qayta ulanib ko'ring ham, chunki faqat birinchi urinishda ishlaydigan tunnel amalda eng muhim talabni bajarmaydi.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

Sinov yonida operatsion asoslarni saqlang: yangilanishlar uchun joy, cheklangan jurnallar, tunnelga bog'liq bo'lmagan ma'muriy kirish, tiklash konsoli va instans qayta qurilib, uning ochiq manzili o'zgarganda mijoz profillariga nima bo'lishi haqida izoh. Agar kerakli interfeys yoki yo'naltirish modeli shunchaki mavjud bo'lmasa, hech qanday mijoz tomonidagi o'zgarish uni ta'minlamaydi, va halol keyingi qadam ko'proq konfiguratsiya emas, balki boshqa turdagi instansdir.