Một kích thước khởi đầu hợp lý
Một đường hầm nhỏ có thể bắt đầu với cấu hình khiêm tốn như gói Scout. Thông lượng thực tế phụ thuộc vào CPU, đường mạng, kích thước gói và máy khách. Hãy đo lường thay vì giả định tốc độ quảng cáo của cổng sẽ trở thành thông lượng được mã hóa.
Xây dựng mô hình peer
Cài đặt gói WireGuard được hỗ trợ, tạo khóa thiết bị duy nhất và tạo các tuyến được phép hẹp. Giữ khóa riêng tư ngoài trò chuyện, ảnh chụp màn hình và kho lưu trữ công khai.
Kiểm thử toàn tuyến
Đặt quy tắc chuyển tiếp và tường lửa, sau đó kiểm tra DNS và cả hai họ địa chỉ từ máy khách. Hãy quyết định có chủ đích giữa truy cập vào mạng con riêng và đường hầm internet đầy đủ.
Giữ kỳ vọng về quyền riêng tư chính xác
Mạng cục bộ chỉ thấy một đường hầm mã hóa, trong khi mạng của máy chủ vẫn xử lý lưu lượng tiếp theo. Trang web, tài khoản và định danh trình duyệt vẫn tồn tại. VPN là phương tiện truyền tải hữu ích, không phải bảo đảm ẩn danh.
Vận hành điểm cuối
Vá máy chủ, thu hồi các thiết bị bị mất và giữ một bản sao riêng của cấu hình. Xác nhận chính sách lưu lượng cuối cùng của máy chủ trước khi dựa vào một đường hầm production.
Chọn tài nguyên cho khối lượng công việc này
Một đường hầm cá nhân nhỏ có thể bắt đầu với Scout nếu đặc điểm bộ nhớ và cổng của nó phù hợp với tải đã đo. Nhiều máy khách đồng thời hơn hoặc dịch vụ bổ sung có thể biện minh cho Warden hoặc Guardian; tốc độ cổng một mình không quyết định thông lượng VPN.
Triển khai WireGuard
Sử dụng hướng dẫn thượng nguồn được duy trì cho bản phát hành đã chọn. Trình tự dưới đây xác định các quyết định và điều kiện vượt qua cần ghi lại trong runbook của riêng bạn.
- Tạo một máy chủ Linux đã cập nhật và giữ quyền truy cập bảng điều khiển
- Tạo khóa riêng cho từng peer và chỉ đăng ký khóa công khai
- Chọn mạng con đường hầm và đích đến được phép trước khi viết quy tắc
- Cho phép trình lắng nghe UDP, chuyển tiếp và NAT dự kiến theo họ địa chỉ
- Kiểm tra bắt tay, hành vi DNS, tuyến đường và một đường dẫn bị từ chối
- Xác nhận rằng một peer đã bị xóa mất quyền truy cập và việc khởi động lại giữ nguyên cấu hình đang hoạt động
Tài liệu chính thức: Hướng dẫn thiết lập upstream được duy trì
Những gì cần xác minh trước khi dựa vào nó
Giữ một đường dẫn quản trị viên thứ hai bên ngoài đường hầm. Hạn chế những peer nào có thể truy cập dịch vụ riêng tư; bắt tay thành công không phải là chính sách truy cập hoàn chỉnh.
Rõ ràng hơn một chút.
Trường hợp sử dụng này có bao gồm cài đặt ứng dụng được quản lý không?
Không. Đây là khối lượng công việc cho hạ tầng do khách hàng tự quản trị. Việc thiết lập ứng dụng, cập nhật, kiểm duyệt, cấp phép và khôi phục vẫn thuộc trách nhiệm của bạn trừ khi có thỏa thuận quản lý riêng nói khác.