Bạn cần gì trước khi tự vận hành máy chủ VPN của mình?

Cài đặt phần mềm máy chủ là phần ngắn nhất của một VPN tự vận hành, và đó là bước mà người ta bắt đầu. Triển khai có chạy được hay không phụ thuộc vào việc máy khách có tới được điểm cuối không, máy khách đó được tới những gì sau đó và bạn quay vào lại bằng cách nào khi chính đường hầm là thứ đã hỏng. Hãy chốt cả ba trước khi trình quản lý gói chạy.

Hai trong số đó là quyết định thiết kế và cái thứ ba là thói quen vận hành. Cả ba đều rẻ hơn khi sửa trên giấy so với lúc đang có sự cố.

Quyết định máy khách phải tới được gì

Máy chủ truy cập từ xa cần một tuyến đường tới mạng riêng mà nó quảng bá và một đường quay về cho các phản hồi, điều đó khiến nó thành bộ định tuyến cho mạng ấy chứ không chỉ là bộ lắng nghe. Máy chủ cổng ra internet cần chuyển tiếp cùng một cách bố trí địa chỉ hoặc dịch địa chỉ, và một cuộc bắt tay đã hoàn tất không cung cấp cả hai. Hãy chọn công việc trước khi chọn sơ đồ mạng, vì hai thiết kế khác nhau ở định tuyến, ở các quy tắc tường lửa và ở những gì máy khách gửi qua đường hầm. Máy chủ được yêu cầu làm cả hai cần cả hai bộ quy tắc và một cách chia tuyến mặc định của máy khách cho khớp.

Chọn dải đường hầm và dải LAN không thể trùng với các mạng mà máy khách của bạn đang dùng, vì một laptop đã giữ 192.168.1.0/24 sẽ tiếp tục dùng tuyến đó thay vì một đường hầm cấp cùng tiền tố. Kiểm tra IPv4 và IPv6 riêng rẽ, vì nhiều người làm đúng cái đầu và không bao giờ để ý cái sau. Ở nơi máy chủ nằm sau một bộ định tuyến khác, hãy xác nhận khả năng tới được từ bên ngoài thay vì tin rằng một lần chuyển tiếp cổng mô tả được mọi tầng.

Danh tính, khóa và đường quay vào

Cấp một danh tính riêng cho mỗi thiết bị ở nơi phần mềm hỗ trợ, để một laptop bị mất nghĩa là thu hồi một máy ngang hàng thay vì dựng lại máy chủ. Khóa riêng thuộc về kho lưu trữ được bảo vệ và không bao giờ nằm trong một hồ sơ bị dán vào tin nhắn trò chuyện. Đường khôi phục là phần mà người ta bỏ qua: truy cập bảng điều khiển, bảng điều khiển nối tiếp hoặc giao diện quản trị ngoài băng không phụ thuộc vào đường hầm. Không có nó, một quy tắc tường lửa tồi biến một thay đổi nhỏ thành một chuyến đến tận nơi.

Viết quy trình gỡ bỏ cùng lúc với quy trình đăng ký. Thu hồi một thiết bị là thao tác mà sớm muộn bạn sẽ cần, và dễ mô tả hơn khi cấu hình còn mới.

Điểm cuối tại nhà hay đi thuê?

Ba điều kiện quyết định giữa tự vận hành tại nhà và thuê một phiên bản nhỏ. Điều thứ nhất là liệu các kết nối vào có tới được mạng của bạn hay không, vì một đường lên đã được dịch ở cấp nhà mạng hoặc một mạng tòa nhà hạn chế sẽ loại bỏ lựa chọn đó. Điều thứ hai là liệu cổng ra có phải xuất hiện ở nơi khác ngoài thành phố của bạn, vì chỉ điểm cuối đi thuê mới thay đổi được điều đó. Điều thứ ba là mức độ sẵn lòng cho một quan hệ tin cậy thứ hai, vì nhà cung cấp dịch vụ lưu trữ tham gia vào mô hình và có thể quan sát điểm cuối ngay cả khi không đọc được lưu lượng.

Nếu điều kiện thứ nhất được thỏa và điều thứ hai không liên quan, tự vận hành tại nhà là đường ngắn hơn. Điểm cuối đi thuê mua vị trí và tính sẵn sàng chứ không mua sự riêng tư tự thân.

Chứng minh bằng một máy khách và một lần khởi động lại

Dựng một máy khách, xác nhận tài nguyên mà nó phải tới được và xác nhận rằng nó thôi tới những thứ không được phép. Các lệnh dưới đây hiển thị trạng thái máy ngang hàng, các tuyến mà máy chủ đã cài và liệu chuyển tiếp có được bật. Hãy chạy chúng trước khi đăng ký ai khác.

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

Một máy ngang hàng có cuộc bắt tay gần đây là đã kết nối, trong khi máy ngang hàng không có cuộc bắt tay thì chưa từng thương lượng, và đó là hai lỗi khác nhau. Chuyển tiếp bị tắt giải thích một đường hầm dựng lên mà không mang gì, nên hãy kiểm tra máy chủ trước khi đổ lỗi cho máy khách. Thiếu bộ lắng nghe nghĩa là dịch vụ đã không khởi động với cấu hình mà bạn nghĩ. Sau đó hãy chủ động khởi động lại máy chủ và lặp lại toàn bộ bộ lệnh, vì một đường hầm chỉ chạy được đến lần khởi động lại là kết quả thường gặp khi chỉ thử con đường thuận lợi.

Ghi điểm cuối, các máy ngang hàng, các dải và phương thức khôi phục lên một trang. Trang đó chính là cuốn sổ tay bạn sẽ đọc vào lúc bất tiện nhất.