独自の WireGuard エンドポイント。

妥当な初期サイズ

小さなトンネルは、Scout プランのような控えめな構成から始められます。実際のスループットは CPU、ネットワーク経路、パケットサイズ、クライアントによって異なります。ポートの公称速度が暗号化されたスループットになると思い込まず、計測してください。

ピアモデルを構築

サポート対象のWireGuardパッケージをインストールし、デバイスごとに固有の鍵を生成し、許可ルートを狭く設定してください。秘密鍵はチャット、スクリーンショット、公開リポジトリに残さないでください。

ルート全体をテスト

転送とファイアウォールのルールを設定し、クライアントから DNS と両方のアドレスファミリーをテストします。プライベートサブネットへのアクセスと完全なインターネットトンネルのどちらにするかを意図的に決定してください。

プライバシーに関する期待を正確に保つ

ローカルネットワークからは暗号化されたトンネルが見えますが、サーバーのネットワークは引き続きその先のトラフィックを処理します。ウェブサイト、アカウント、ブラウザの識別子は依然として存在します。VPNは有用な伝送手段であり、匿名性の保証ではありません。

エンドポイントを運用

ホストにパッチを適用し、紛失したデバイスを取り消し、設定のプライベートコピーを保管してください。本番トンネルに依存する前に、最終的なホストのトラフィックポリシーを確認してください。

このワークロードのリソースを選択

小規模な個人用トンネルは、メモリとポートの特性が実測負荷に適合する場合、Scoutから始められます。同時クライアントの増加や追加サービスには、WardenまたはGuardianが適切な場合があります。ポート速度だけではVPNのスループットは決まりません。

WireGuard の展開

選択したリリースについて、保守されている上流の手順をご利用ください。以下の手順は、ご自身のランブックに記録すべき判断事項と合格条件を示しています。

• 更新されたLinuxホストを作成し、コンソールアクセスを維持する
• 各ピアのキーを非公開で生成し、公開鍵のみを登録
• ルールを書く前にトンネルサブネットと許可する宛先を選択する
• アドレスファミリーごとにUDPリスナー、フォワーディング、意図したNATを許可する
• ハンドシェイク、DNS の動作、ルート、拒否されるパスをテスト
• 削除されたピアがアクセスを失い、再起動後も動作中の設定が維持されることを確認してください

公式ドキュメント: メンテナンスされている上流の設定ガイダンス

信頼する前に確認すべきこと

トンネル外に2つ目の管理者経路を確保してください。プライベートサービスへ到達できるピアを制限してください。ハンドシェイクの成功は完全なアクセスポリシーではありません。

もう少し明確に。