Một VPS cung cấp một máy; một VPN cung cấp một tunnel đã cấu hình; một proxy chuyển tiếp lưu lượng được chọn. Hãy khớp vai trò với yêu cầu và xác minh định tuyến, tin cậy và hành vi khi thất bại thay vì coi các nhãn là bảo đảm quyền riêng tư.
Vẽ kết nối bạn muốn thay đổi
Một VPS là một máy bạn có thể dùng để chạy phần mềm. Một VPN tạo một đường mạng được bảo vệ giữa các điểm cuối tham gia. Một proxy xử lý lưu lượng thay cho một client hoặc dịch vụ. Những vai trò này có thể cùng tồn tại: một VPS có thể lưu trữ một VPN hoặc proxy, nhưng mua một máy chủ không cấu hình cái nào trong hai. Hãy bắt đầu với một sơ đồ đơn giản về client, đích và các hệ thống trung gian.
Nếu yêu cầu là xuất bản một website, bạn cần một môi trường lưu trữ và một ứng dụng. Nếu yêu cầu là truy cập riêng tư vào một mạng quản trị, một tunnel có thể là một phần của thiết kế. Nếu một ứng dụng phải kết nối qua một trung gian được kiểm soát, một proxy có thể phù hợp. Chọn theo vai trò giúp bạn không kỳ vọng một sản phẩm lưu trữ tự động thay đổi lưu lượng của một thiết bị.
Một tunnel bảo vệ một chặng cụ thể của hành trình
Một VPN mã hóa lưu lượng trong tunnel đã cấu hình của nó; định tuyến quyết định lưu lượng nào đi vào tunnel đó. Cấu hình full-tunnel và cấu hình split-tunnel có những tác động khác nhau. Hãy xem lại cách xử lý DNS, các tuyến IPv6 và hành vi khi tunnel trở nên không khả dụng. Kiểm thử những đường đó trên client thực tế thay vì giả định một màn hình cài đặt chứng minh mọi lưu lượng đi theo tuyến dự định.
Điểm cuối tunnel trở thành một phần của mô hình tin cậy. Sau khi lưu lượng đi ra, sự bảo vệ của nó phụ thuộc vào kết nối tiếp theo và giao thức ứng dụng, bao gồm HTTPS khi được dùng. Một VPN không loại bỏ tài khoản website, định danh trình duyệt hoặc thông tin bạn gửi. Nó cũng không sửa chữa một thiết bị bị xâm phạm. Hãy đánh giá kiểm soát truy cập và nhà vận hành điểm cuối cùng với giao thức, và tách các tuyên bố về ẩn danh khỏi một kết quả định tuyến đã được xác minh.
Một proxy có phạm vi hẹp hơn và có thể cấu hình
Một forward proxy nhận kết nối từ client và thực hiện các kết nối tiếp theo theo cấu hình của nó. Proxy HTTP và SOCKS trình bày các giao diện khác nhau, và ứng dụng phải hỗ trợ hoặc được cấu hình cho loại được chọn. Một proxy không tự động mã hóa mọi kết nối từ thiết bị. Kết nối đến proxy và kết nối tiếp theo phải được đánh giá riêng.
Một reverse proxy nằm trước một dịch vụ và nhận yêu cầu từ người dùng của nó. Nó có thể định tuyến đến các tiến trình ứng dụng nội bộ và xử lý các cài đặt HTTP công khai. Đây là một quyết định kiến trúc hướng đến nhà vận hành chứ không phải sự thay thế cho một VPN phía client. Tránh tạo một proxy mở không xác thực: chỉ cho phép người dùng và đích cần thiết cho quy trình hợp pháp của bạn và giám sát lỗi mà không lưu giữ dữ liệu duyệt web không cần thiết.
| Thành phần | Vai trò chính | Nó không xác lập điều gì |
|---|---|---|
| VPS | Chạy hệ điều hành và ứng dụng | Một tunnel đã cấu hình cho thiết bị của bạn |
| VPN tunnel | Mang lưu lượng mạng được chọn giữa các peer | Một danh tính ẩn danh tại đích |
| Forward proxy | Chuyển tiếp lưu lượng client được hỗ trợ | Bảo vệ mọi kết nối của thiết bị |
| Reverse proxy | Nhận yêu cầu thay cho một ứng dụng | Tính đúng đắn của ứng dụng hoặc khả năng chống tấn công không giới hạn |
Chọn giao thức từ các điểm cuối và chính sách
WireGuard sử dụng UDP và thiết kế mật mã được xác định với cấu hình ngang hàng khóa công khai. Các tùy chọn triển khai được tài liệu hóa của OpenVPN bao gồm đường hầm định tuyến, chứng chỉ và truyền tải TCP hoặc UDP. IPsec mô tả bảo vệ ở lớp IP và thường xuất hiện cùng hệ thống quản lý khóa như IKE. Đây là các họ kỹ thuật với lựa chọn triển khai khác nhau, không phải bảng xếp hạng tốc độ phổ quát.
Kiểm tra hỗ trợ máy khách, luân chuyển khóa, cách người dùng bị xóa và những gì mạng giữa các peer cho phép. Thiết kế cho liên kết site-to-site có thể khác với truy cập từ xa cho thiết bị nhân viên. Kiểm tra khả năng tiếp cận và thông lượng bằng các điểm cuối đại diện và lưu lượng được phép. Ghi lại giao thức và điều kiện cùng kết quả. Kết quả nhanh hơn trong một môi trường không chứng minh cùng giao thức là phù hợp nhất ở mọi nơi.
Tự lưu trữ chuyển công việc sang cho bạn
Chạy đường hầm trên máy chủ của riêng bạn khiến bạn chịu trách nhiệm về cập nhật, khóa, quy tắc tường lửa và tính khả dụng. Hạn chế giao diện quản trị, bảo vệ bản sao lưu cấu hình và quyết định cách thu hồi quyền truy cập của thiết bị bị mất. Một máy chủ duy nhất tạo ra phụ thuộc rõ ràng: nếu nó ngừng hoạt động, tuyến nó cung cấp cũng ngừng hoạt động. Lập kế hoạch khôi phục trước khi dựa vào nó cho đường quản trị duy nhất của bạn.
Viết chính sách ghi nhật ký mà bạn thực sự có thể triển khai. Giữ ít nhật ký có thể giảm thông tin lưu trữ, nhưng cũng có thể hạn chế điều tra sự cố. Không suy ra chính sách không lưu nhật ký từ sự hiện diện của giao thức VPN hoặc vị trí máy chủ. Giám sát tình trạng dịch vụ mà không ghi lại nhiều hoạt động người dùng hơn mức cần thiết. Giữ thông tin xác thực và khóa riêng tư bên ngoài thư mục ứng dụng công khai và các ví dụ cấu hình được tạo.
Xác minh toàn bộ đường đi trước khi chọn gói
Kiểm tra phân giải DNS, địa chỉ công khai mà điểm đến thử nghiệm được phê duyệt nhìn thấy và quyền truy cập vào các tài nguyên cần được giữ riêng tư. Ngắt kết nối đường hầm và xác nhận hành vi dự phòng dự kiến. Lặp lại trên các thiết bị và mạng mà người dùng của bạn sẽ sử dụng. Với proxy, hãy kiểm tra một ứng dụng sử dụng nó và một ứng dụng không sử dụng, để phạm vi của nó được thấy rõ.
Shield là họ dịch vụ SwissOctet VPN; Vector hoặc các dải chuyên dụng là lựa chọn lưu trữ riêng cho phần mềm bạn quản trị. Đọc các tùy chọn được liệt kê và xác nhận khả năng cần thiết trước khi đặt hàng. Chọn dung lượng từ lưu lượng dự kiến, phiên đồng thời và tài nguyên điểm cuối đã đo. Tuyến đúng là tuyến có phạm vi, quyền và hành vi khi lỗi phù hợp với dự án, với trách nhiệm mà bạn sẵn sàng duy trì.
Danh sách kiểm tra thực tế của bạn.
- Vẽ sơ đồ máy khách, trung gian và điểm đến.
- Quyết định lưu lượng nào đi vào đường hầm hoặc proxy.
- Kiểm tra DNS, IPv6 và hành vi khi ngắt kết nối.
- Chọn giao thức từ yêu cầu hỗ trợ và chính sách.
- Lập kế hoạch thu hồi khóa, cập nhật và khôi phục điểm cuối.
Những chi tiết quan trọng.
Tôi có thể chạy VPN trên VPS không?+
Có, nếu môi trường vận hành hỗ trợ phần mềm bạn chọn và yêu cầu mạng. Bạn vẫn chịu trách nhiệm về cấu hình, bảo trì và khóa của nó.
Proxy có mã hóa toàn bộ lưu lượng không?+
Không. Bảo vệ phụ thuộc vào giao thức và cấu hình của từng kết nối. Các ứng dụng ngoài phạm vi của nó có thể kết nối trực tiếp.
Giao thức VPN nào luôn nhanh nhất?+
Không có kết quả phổ quát. Phần cứng máy khách, truyền tải, đường đi và cấu hình đều quan trọng. Hãy đo triển khai dự kiến và cân nhắc cả hỗ trợ và chính sách truy cập.
Đến nguồn.
Các tài liệu tham khảo này hỗ trợ các khái niệm kỹ thuật trong hướng dẫn này. Hãy theo dõi tài liệu hiện hành trước khi thay đổi hệ thống sản xuất.
- WireGuard: Giao thức và mật mã www.wireguard.com
- OpenVPN: Hướng dẫn triển khai cộng đồng openvpn.net
- RFC 4301: Kiến trúc bảo mật cho Giao thức Internet www.rfc-editor.org
- NGINX: mô-đun proxy HTTP nginx.org
Hướng dẫn biên tập bởi SwissOctet. Các ví dụ chỉ mang tính minh họa. Thông số dịch vụ, tùy chọn có sẵn và điều kiện hợp đồng phải được xác minh riêng.