Faire tourner VpnHood! SERVER sur une adresse IP dynamique
De nombreuses connexions domestiques reçoivent une nouvelle adresse IP publique tous les quelques jours. Inutile d'en avoir une statique : VpnHood! MANAGER suit la nouvelle adresse de lui-même, et les applications de vos utilisateurs la trouvent grâce à un nom DNS dynamique ou aux URL de jeton de la ferme.
Ce qui se passe quand l'adresse change
Un serveur avec Automatic Configuration activée, comme tout nouveau serveur, suit l'adresse de lui-même. Son prochain rapport à MANAGER provient de la nouvelle adresse : MANAGER demande alors au serveur de rechercher à nouveau ses adresses, et met à jour les points d'accès et les clés en quelques minutes. Il n'y a rien à réinstaller ni à redémarrer.
Lorsque Automatic Configuration est désactivée, les adresses restent telles que vous les avez définies : c'est donc à vous de les changer, comme le montre Modifier une adresse.
Derrière un routeur domestique
Les applications atteignent votre serveur via votre routeur, qui doit donc lui transmettre leurs connexions. Cette configuration ne se fait qu'une fois : MANAGER conserve les ports de chaque point d'accès lorsque l'adresse change.
- Donnez à la machine une adresse fixe sur votre réseau domestique. Les routeurs appellent cela une réservation DHCP ou un bail statique.
- Ouvrez Servers, sélectionnez le serveur et repérez ses Access Points, qui indiquent ses ports.
- Dans le routeur, redirigez-les vers la machine : le TCP Port (1) en TCP, ainsi que le UDP Port (2) et le QUIC Port (3) en UDP. Un port à
-1est désactivé et n'a pas besoin de redirection.
192.168.1.10, est celle vers laquelle le routeur redirige les ports. L'adresse publique, 203.0.113.10, figure dans les clés, et MANAGER la change de lui-même.
Permettre aux applications de trouver la nouvelle adresse
Une clé contient les adresses configurées lors de sa création : après un changement, une application qui la détient essaie donc l'ancienne adresse. Donnez à vos clés un chemin vers la nouvelle avant que l'adresse ne change : un nom DNS dynamique, des URL de jeton de la ferme, ou les deux.
Un nom DNS dynamique
Un service de DNS dynamique (DDNS) vous donne un nom qui pointe toujours vers votre adresse actuelle. Les clés qui portent ce nom continuent de fonctionner, car les applications le résolvent à chaque connexion.
- Obtenez un nom auprès d'un service de DNS dynamique, et faites-le tenir à jour par votre routeur ou par un petit programme sur la machine. Choisissez un nom sans le mot « VPN » : les applications l'envoient en clair au début de chaque connexion, où le réseau peut le lire.
- Redirigez aussi le port TCP
80vers la machine, tant que vous utilisez le nom : il permet de valider le certificat et de le renouveler tous les quelques mois. - Donnez à la ferme un certificat pour ce nom, comme le montre Utiliser votre propre domaine : réglez Signing sur AutoSign (1), attendez que Signature indique CA Signed (2), puis réglez Visibility sur PublicInToken (3).
C'est la signature qui rend cela possible : les applications ne résolvent un nom que si son certificat est CA Signed. Avec un certificat auto-signé, elles n'essaient que les adresses de la clé.
URL de jeton de la ferme
Une URL de jeton de la ferme pointe vers un fichier sur le web où MANAGER publie les adresses actuelles de la ferme après chaque changement. Une application qui ne parvient pas à se connecter lit le fichier et réessaie avec ce qu'elle y trouve. Cela ne demande ni nom ni port supplémentaire, seulement un emplacement sur le web que vos utilisateurs peuvent atteindre, comme un dépôt GitHub. URL de jeton de la ferme montre comment en ajouter une. Réglez Auto Upload sur autre chose que Off, pour que MANAGER mette à jour le fichier de lui-même.
Clés déjà distribuées
Les clés que vous copiez désormais depuis MANAGER contiennent le nom ou les URL. Une application qui possède une clé plus ancienne reçoit la nouvelle à sa prochaine connexion, car Push token to clients est activé par défaut : faites donc cette configuration tant que l'adresse de sa clé fonctionne encore. Une application qui ne peut plus joindre le serveur a besoin d'une nouvelle clé de votre part.
Points à garder à l'esprit
- Les applications connectées sont déconnectées. Les applications connectées à ce moment-là perdent la connexion. Elles peuvent se reconnecter dès que le nom ou le fichier indique la nouvelle adresse, en général en quelques minutes.
- Une adresse partagée ne fonctionne pas. Certains fournisseurs placent de nombreux clients derrière une seule adresse publique, ce qu'on appelle souvent CGNAT, et les connexions venues de l'extérieur n'atteignent jamais votre routeur. Si l'adresse affichée par votre routeur n'est pas celle que voient les sites web, demandez une adresse publique à votre fournisseur.
- Deux lignes internet ne fonctionnent pas avec cela. Derrière un routeur qui envoie chaque connexion par une autre ligne, l'adresse semble changer sans arrêt, et le serveur ne cesse de se reconfigurer. Sur un tel serveur, désactivez Automatic Configuration et définissez vous-même les adresses.
Sur un serveur autonome
Sans MANAGER, rien ne met à jour les clés, et un serveur autonome ne recherche son adresse qu'au démarrage. Un nom DNS dynamique fonctionne quand même, car les applications résolvent le nom elles-mêmes : donnez au serveur un certificat pour ce nom, comme le montre Utiliser un nom de domaine et un certificat de confiance, et donnez de nouvelles clés à vos utilisateurs.
