ขนาดเริ่มต้นที่สมเหตุสมผล
อุโมงค์ขนาดเล็กสามารถเริ่มต้นด้วยการกำหนดค่าที่เรียบง่าย เช่น แพ็กเกจ Scout ปริมาณงานจริงขึ้นอยู่กับ CPU, เส้นทางเครือข่าย, ขนาดแพ็กเก็ต และไคลเอนต์ ควรวัดผลจริงแทนที่จะสันนิษฐานว่าอัตราที่โฆษณาของพอร์ตจะกลายเป็นปริมาณงานที่เข้ารหัส
สร้างโมเดล peer
ติดตั้งแพ็กเกจ WireGuard ที่รองรับ สร้างคีย์อุปกรณ์ที่ไม่ซ้ำกัน และสร้างเส้นทางที่อนุญาตอย่างจำกัด เก็บคีย์ส่วนตัวให้ห่างจากแชท ภาพหน้าจอ และที่เก็บโค้ดสาธารณะ
ทดสอบเส้นทางทั้งหมด
ตั้งค่ากฎการส่งต่อและไฟร์วอลล์ จากนั้นทดสอบ DNS และทั้งสองตระกูลแอดเดรสจากไคลเอนต์ ตัดสินใจอย่างรอบคอบระหว่างการเข้าถึงซับเน็ตส่วนตัวกับการอุโมงค์อินเทอร์เน็ตแบบเต็มรูปแบบ
รักษาความคาดหวังด้านความเป็นส่วนตัวให้ถูกต้อง
เครือข่ายภายในเห็นเป็นอุโมงค์เข้ารหัส ขณะที่เครือข่ายของเซิร์ฟเวอร์ยังคงจัดการทราฟฟิกขาออกต่อไป เว็บไซต์ บัญชี และตัวระบุเบราว์เซอร์ยังคงมีอยู่ VPN เป็นเพียงการขนส่งที่มีประโยชน์ ไม่ใช่การรับประกันความไม่ระบุตัวตน
ดำเนินการปลายทาง
อัปเดตแพตช์โฮสต์ เพิกถอนอุปกรณ์ที่สูญหาย และเก็บสำเนาการกำหนดค่าไว้เป็นส่วนตัว ยืนยันนโยบายทราฟฟิกโฮสต์ขั้นสุดท้ายก่อนพึ่งพาอุโมงค์ในสภาพแวดล้อมการใช้งานจริง
เลือกทรัพยากรสำหรับภาระงานนี้
อุโมงค์ส่วนตัวขนาดเล็กสามารถเริ่มต้นด้วย Scout ได้หากคุณลักษณะด้านหน่วยความจำและพอร์ตเหมาะสมกับภาระงานที่วัดได้ ไคลเอนต์ที่เชื่อมต่อพร้อมกันมากขึ้นหรือบริการเพิ่มเติมอาจทำให้ Warden หรือ Guardian มีความเหมาะสม ความเร็วพอร์ตเพียงอย่างเดียวไม่ได้กำหนดปริมาณงาน VPN
การเปิดใช้งาน WireGuard
ใช้คำแนะนำจากต้นทางที่ได้รับการดูแลสำหรับเวอร์ชันที่เลือก ลำดับด้านล่างระบุการตัดสินใจและเงื่อนไขการผ่านที่ต้องบันทึกไว้ใน runbook ของคุณเอง
- สร้างโฮสต์ Linux ที่อัปเดตแล้วและรักษาการเข้าถึงคอนโซล
- สร้างคีย์ของแต่ละ peer อย่างเป็นส่วนตัวและลงทะเบียนเฉพาะคีย์สาธารณะ
- เลือกซับเน็ตของทันเนลและปลายทางที่อนุญาตก่อนเขียนกฎ
- อนุญาตตัวรับฟัง UDP การส่งต่อ และ NAT ที่ตั้งใจไว้ตามตระกูลที่อยู่
- ทดสอบแฮนด์เชก พฤติกรรมของ DNS เส้นทาง และเส้นทางที่ถูกปฏิเสธ
- ยืนยันว่าเพียร์ที่ถูกนำออกสูญเสียการเข้าถึง และการรีบูตยังคงรักษาการกำหนดค่าที่ใช้งานได้
เอกสารอย่างเป็นทางการ: คำแนะนำการตั้งค่าจากต้นทางที่ได้รับการดูแล
สิ่งที่ต้องตรวจสอบก่อนพึ่งพา
เก็บเส้นทางผู้ดูแลระบบเส้นทางที่สองไว้นอกอุโมงค์ จำกัดว่าคู่ใดสามารถเข้าถึงบริการส่วนตัวได้ การจับมือสำเร็จไม่ใช่นโยบายการเข้าถึงที่สมบูรณ์
ความชัดเจนอีกเล็กน้อย
กรณีการใช้งานนี้รวมถึงการติดตั้งแอปพลิเคชันแบบจัดการหรือไม่
ไม่ใช่ อธิบายภาระงานสำหรับโครงสร้างพื้นฐานที่ลูกค้าบริหารจัดการเอง การตั้งค่าแอปพลิเคชัน การอัปเดต การกลั่นกรอง การอนุญาต และการกู้คืนยังคงเป็นความรับผิดชอบของคุณ เว้นแต่ข้อตกลงแบบ managed แยกต่างหากจะระบุไว้เป็นอย่างอื่น