Points d'accès
Les points d'accès sont les adresses de votre serveur dans VpnHood! MANAGER : celles sur lesquelles il écoute et celles intégrées aux clés d'accès. MANAGER les gère automatiquement, sauf si vous souhaitez une adresse spécifique.
Où les trouver
Ouvrez Servers, choisissez le serveur et accédez à Access Points. Chaque point d'accès correspond à une adresse du serveur et à ses ports. La page du groupe de serveurs affiche aussi ces adresses sous Access Points.
Configuration automatique
Automatic Configuration est activé par défaut. MANAGER détecte l'adresse du serveur à partir de son trafic sortant, comme le ferait un serveur autonome, et configure les points d'accès adaptés. Cela fonctionne pour la plupart des machines ; consultez Comment le serveur détecte son adresse pour en savoir plus sur les cas particuliers.
Pour personnaliser les points d'accès, désactivez Automatic Configuration : la liste n'est pas modifiable lorsqu'elle est active. MANAGER vous demandera confirmation, car le serveur doit redémarrer pour appliquer les changements.
Paramètres d'un point d'accès
Deux paramètres définissent le rôle de chaque adresse :
- Mode définit la visibilité de l'adresse. PublicInToken l'ajoute à chaque clé d'accès du groupe. Public l'exclut des clés : MANAGER ne la transmet à une application que lorsqu'il la dirige vers ce serveur. Private ne la transmet jamais aux applications.
- Listen détermine si le serveur écoute sur cette adresse. Choisissez Yes uniquement si l'adresse est routée vers la machine : sous Linux, le serveur ajoute automatiquement à son réseau toute nouvelle adresse d'écoute.
UDP Port et QUIC Port sont facultatifs ; indiquez -1 pour désactiver l'un ou l'autre.
Pour les appareils utilisant le protocole UDP, le UDP Port du serveur doit aussi être ouvert dans le pare-feu de la machine et chez votre hébergeur.
Sur un cloud avec adresses privées
Sur les clouds n'attribuant que des adresses privées (AWS, Google Cloud, Azure ou Oracle Cloud), configurez l'adresse privée avec Mode sur Private et Listen sur Yes, puis l'IP publique avec PublicInToken et Listen sur No, sur le même port. Automatic Configuration effectue ce réglage automatiquement.
Modifier une adresse
Une clé contient les adresses configurées lors de sa création ; une application utilisant une ancienne clé continuera donc de cibler l'ancienne adresse. Conservez l'ancienne adresse quelques jours comme point d'accès avec Mode sur Private et Listen sur Yes : les applications recevront la nouvelle clé lors de leur connexion grâce à Push token to clients activé par défaut. Vous pourrez ensuite la supprimer.
203.0.113.10, est intégrée aux clés. L'ancienne, 198.51.100.20, en est exclue, mais le serveur continue de l'écouter pour les applications possédant une clé précédente.
Derrière un reverse proxy
Activez d'abord le proxy, comme indiqué dans Placer votre serveur derrière un reverse proxy. Vérifiez ensuite le certificat du domaine pour la ferme de serveurs : sous Signature, il doit indiquer CA Signed, et sa Visibility doit être PublicInToken, conformément au guide Utiliser votre propre domaine. Les clés intègrent alors le nom de domaine, que les applications utiliseront pour la connexion.
Pour faire passer toutes les applications par le proxy, retirez les adresses directes du serveur des clés :
- Désactivez Automatic Configuration.
- Modifiez chaque adresse et définissez son Mode sur Private.
- Laissez Listen sur Yes pour que le serveur reste à l'écoute : le proxy pourra toujours s'y connecter.
MANAGER autorise les clés sans adresse uniquement lorsque le certificat indique CA Signed.
Les applications disposant d'une ancienne clé continuent de l'utiliser avec les adresses du serveur associées : Push token to clients transmet une nouvelle clé uniquement si l'un des serveurs de la ferme possède une adresse PublicInToken. Copiez les nouvelles clés depuis MANAGER et partagez-les avec vos utilisateurs.
En laissant PublicInToken, les adresses restent dans les clés et les applications peuvent utiliser indifféremment ces adresses ou le proxy. Le proxy permet ainsi à vos utilisateurs de rester connectés si une adresse directe est bloquée.
Le nom de domaine pointant vers un seul serveur, toutes les connexions passant par le proxy aboutiront à ce même serveur, même au sein d'une ferme de serveurs.
