Bộ định tuyến hay máy tính riêng làm máy chủ VPN: chọn thế nào

Cả bộ định tuyến và một máy tính nhỏ đều có thể kết thúc VPN, và quyết định hiếm khi phụ thuộc vào thông lượng. Nó phụ thuộc vào ai áp dụng bản cập nhật lúc hai giờ sáng, còn gì nữa dừng lại khi chiếc hộp đó khởi động lại, và liệu bạn còn đến được bảng điều khiển khi chính đường hầm là thứ đã hỏng. Trả lời ba câu hỏi đó cho từng ứng viên và lựa chọn thường tự hình thành. Quy trình dưới đây biến so sánh thành một danh sách ngắn những việc bạn có thể kiểm tra trước khi cam kết.

Bắt đầu từ điều phải tiếp tục chạy khi đường hầm hỏng

Sự cố cần thiết kế là sự cố trong đó tiến trình VPN chết và bạn vẫn phải đến được máy chủ. Trên bộ định tuyến, đường hầm và cổng internet chia sẻ cùng một số phận: một thay đổi cấu hình sai có thể làm sập cả hai, và đường khôi phục thường là đặt lại vật lý. Trên một máy tính riêng, cổng vẫn tiếp tục hoạt động và máy chủ vẫn truy cập được qua LAN. Kết quả nào trong số đó bạn chịu được sẽ quyết định nhiều hơn mọi danh sách tính năng.

Viết câu trả lời thành một câu: nếu máy chủ VPN khởi động lại, gia đình hoặc văn phòng mất gì? Nếu câu trả lời bao gồm toàn bộ truy cập internet, bạn đã chấp nhận một miền lỗi chung và nên nói điều đó một cách có chủ ý thay vì phát hiện sau này.

Dịch vụ thứ hai trên cùng thiết bị không phải bảng điều khiển dự phòng. Nó chia sẻ nguồn điện, firmware và tài khoản quản trị.

Đếm các bề mặt bảo trì mà mỗi máy chủ thêm vào

Bộ định tuyến mang firmware của nhà sản xuất với nhịp phát hành riêng, và tính năng VPN thường là một mô-đun bên trong một hình ảnh lớn hơn nhiều. Máy tính mang hệ điều hành, trình quản lý gói, nhân và một bộ dịch vụ mà giờ đây thuộc về bạn. Cả hai đều cần bản vá, và câu hỏi thật là bạn sẽ giữ nhịp nào khi sự mới lạ qua đi.

Trên một máy chủ Linux, hãy làm cho nhịp đó hiện rõ thay vì hy vọng vào nó. systemctl list-timers hiển thị các công việc đã lên lịch và apt list --upgradable hiển thị những gì đang chờ. Ghi lại bản cập nhật nào cần khởi động lại, vì một máy chủ VPN khởi động lại là gián đoạn trừ khi bạn đã lên kế hoạch. Một bộ định tuyến không có đường cập nhật tự động thì cần một mục lịch thay thế, đó là kiểm soát yếu hơn nhưng trung thực.

Đếm cả các tài khoản. Mỗi lần đăng nhập quản trị thêm trên máy chủ VPN là thêm một thông tin xác thực phải xoay vòng và thêm một đường phải thu hồi.

Theo đường đi của mạng riêng, không phải nhãn trên hộp

Máy khách không quan tâm máy chủ chạy ở đâu; họ quan tâm các tiền tố được bảo vệ có đến được không và có đường quay về không. Đặt máy chủ ở nơi định tuyến đơn giản nhất, thường có nghĩa là trực tiếp trên phân đoạn chứa tài nguyên. Một máy tính sau bộ định tuyến vẫn cần chuyển tiếp cổng, và tài nguyên trên LAN đó vẫn cần tuyến quay về mạng con của đường hầm.

Kiểm tra chuyển tiếp trên máy chủ trước khi đổ lỗi cho máy khách. sysctl net.ipv4.ip_forward phải báo 1, và nft list ruleset hoặc iptables -S cho biết giao diện đường hầm có được phép chuyển tiếp hay không. Một quy tắc masquerade thiếu trông từ phía máy khách giống hệt một đường hầm hỏng.

Cũng quyết định những gì đường hầm không được chạm tới. Một máy chủ đặt trên bộ định tuyến nhìn thấy mọi mạng con mà bộ định tuyến đó định tuyến, và điều đó thường nhiều hơn chính sách truy cập dự định. Trên một máy chủ riêng, cùng sự cô lập đó cách một quy tắc tường lửa, và bán kính thiệt hại từ một máy khách bị xâm phạm nhỏ hơn. Mô tả cổng IPsec trong RFC 7296 coi đây là câu hỏi về định tuyến và chính sách, không phải phần cứng, và không dạng nào an toàn hơn theo mặc định cho đến khi chính sách được viết ra.

Giữ một bảng điều khiển khôi phục không phụ thuộc vào đường hầm

Bảng điều khiển bạn dùng để sửa VPN không thể là chính VPN. Giữ một địa chỉ LAN, bảng điều khiển nối tiếp hoặc bảng điều khiển của nhà cung cấp hoạt động khi đường hầm sập, và dùng nó ít nhất một lần trước khi bạn cần. Một đường ngoài băng chưa từng được luyện tập là kế hoạch chứ không phải năng lực.

Sao lưu cấu hình ở nơi mà chính máy chủ không thể xóa. tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn ghi lại khóa và định nghĩa dịch vụ, và bản sao phải rời khỏi máy. Bao gồm các quy tắc tường lửa và danh sách máy khách, vì khôi phục khóa mà không có danh sách ngang hàng sẽ tạo ra máy chủ không ai tham gia được. Lưu tệp lưu trữ ở nơi bảng điều khiển khôi phục có thể với tới.

Viết bước hoàn tác vào cùng ghi chú đó. Một thay đổi cấu hình không có hoàn tác được ghi lại là thay đổi vĩnh viễn, bất kể ý định là gì.

Xác minh lựa chọn bằng một lần khởi động lại và một bản cập nhật

Hãy thử bố trí theo cách nó sẽ hỏng, không phải cách nó chạy vào một ngày đẹp trời. Khởi động lại máy chủ, áp dụng bản cập nhật đang chờ, và xác nhận đường hầm trở lại mà không cần bước thủ công.

Sau khi khởi động lại, kiểm tra ba thứ hay hỏng nhất. systemctl is-active wg-quick@wg0 báo giao diện có trở lại không, ss -lunp cho thấy có gì đang lắng nghe trên cổng, và wg show liệt kê một ngang hàng có bắt tay hoàn tất. Một dịch vụ đang hoạt động mà không có bắt tay nghĩa là tường lửa hoặc tuyến sai, không phải daemon.

Lặp lại kiểm tra từ một máy khách trên mạng khác với mạng bạn đã cấu hình. Nếu đường hầm sống sót qua một lần khởi động lại, một bản cập nhật và một lần đổi mạng máy khách, lựa chọn máy chủ tạm thời đã rõ. Nếu không, phần còn thiếu thường là một bước được ghi lại chứ không phải một chiếc hộp khác.