SIFT / KNOWLEDGE BASE
知识 Wiki
查命令、找配置、解决问题。按分类浏览，或搜索 Wiki 条目。
复杂网络
SSH 与远程连接
VPN
VPN是什么
VPN 在公共 IP 网络上建立逻辑隧道，使授权端点之间能够传送受保护的网络流量。它提供的安全属性取决于协议、密钥管理、端点配置和服务运营方式。
VPN、代理与 HTTPS
VPN、代理和 HTTPS 分别作用于网络路由、应用请求转发和传输层加密，保护范围并不相同。
IP地址与子网
IP 地址标识网络接口；CIDR 前缀长度划分网络部分与主机部分。VPN 地址规划应同时考虑 IPv4、IPv6 和现有网络重叠。
路由与默认网关
路由表依据目标前缀选择下一跳或网络接口。VPN 是否承载某个连接，取决于有效路由、接口优先级和 VPN 策略。
DNS基础
DNS 将域名映射到 IP 地址并提供其他资源记录。VPN 连接后应核对解析器、搜索域、分流规则和查询的实际出口。
隧道与封装
VPN 隧道把内层 IP 流量封装进外层报文传送。封装增加报文开销，并影响路由、抓包和 MTU。
加密与认证
VPN 安全依赖对端认证、密钥协商、机密性和完整性保护。加密本身不能替代身份验证和安全的密钥管理。
远程接入与站点互联
远程接入连接用户设备与组织网络；站点互联连接多个网络网关。两者的身份、路由、地址规划和访问控制边界不同。
全隧道与分流
全隧道把默认流量导入 VPN；分流只将指定网段或应用流量导入 VPN。IPv4、IPv6、DNS 和服务端策略均需纳入配置。
WireGuard
WireGuard 以公私钥识别对端，通过 AllowedIPs 同时选择对端和路由。配置文件中的私钥必须保存在本机并避免外传。
OpenVPN
OpenVPN 使用 TLS 控制通道建立并认证连接，再通过隧道接口传送数据通道流量。客户端配置文件由服务端或管理员提供。
IPsec与IKEv2
IPsec 在 IP 层保护报文；IKEv2 协商安全关联、认证对端并管理密钥。具体客户端能力依操作系统和部署策略而异。
VPN中的DNS
VPN DNS 配置包括解析器可达性、搜索域、分流 DNS 与查询路由。仅看到 DNS 结果不能证明查询已通过 VPN。
NAT和防火墙
NAT 改写地址或端口，防火墙按策略允许或拒绝流量。VPN 建连、隧道转发和目标服务访问需要分别核验。
MTU与MSS
VPN 封装会增加外层开销，降低隧道内可承载的有效报文尺寸。MTU 和 MSS 问题常表现为小请求成功而大数据传输停滞。
VPN的信任边界
VPN 把信任边界延伸到客户端、隧道网关和其后网络。选择 VPN 服务时应评估端点控制、日志策略、凭据和访问范围。
DNS与IPv6泄露
DNS 或 IPv6 泄露指部分查询或流量绕过预期 VPN 路由。客户端应同时覆盖地址族、解析器和应用级加密 DNS 策略。
断电保护
本条按 VPN 断线保护（kill switch）解释：隧道不可用时阻断未进入隧道的外发流量。它与设备断电后的数据保护无关。
VPN故障排查
VPN 故障排查应按名称解析、外层连接、身份认证、隧道路由、DNS、网关转发和目标服务逐层定位。
一次完整访问过程
一次经 VPN 的访问由名称解析、路由选择、隧道封装、网关策略、目标服务响应和回程路由组成。
Linux 服务器
基础与权限
环境与运行
其他知识
最近维护
按条目修改时间自动排列。