Пасля запуску ўсталёвачнага скрыпта сервер VPN патрабуе ўладальніка

Дзве розныя задачы прадаюцца як адна: ператварыць машыну ў сервер VPN і дадаць кліент VPN на ноўтбук, які павінен далучыцца да чужога шлюза. Усталёвачны скрыпт адказвае на першую і не можа адказаць на другую, што б ні казаў яго README. Вазьміце праект setup-ipsec-vpn як канкрэтны прыклад: ён будуе сервер IPsec/L2TP, Cisco IPsec або IKEv2 на падтрымліваным хасте Linux з дапамогай Libreswan і xl2tpd. Гэта кантракт разгортвання для сервера, а не агульны рэцэпт для кожнай машыны. Вызначце, якая задача ў вас, да запуску скрыпта, бо ўсё далейшае датычыцца сервера.

Будзьце шчырымі адносна хаста

Машына, якая таксама тэрмінуе нешта іншае, або чый файрвол кіруецца воблачнай панэллю, а не аперацыйнай сістэмай, — гэта іншая ўсталёўка, чым чыстая віртуальная машына. Запішыце пратакол, які вы ўключаеце, і выпуск, які выкарыстоўваеце, затым праверце абодва па спісе падтрымкі праекта, а не па допісе ў блогу мінулага года.

Уключэнне сэрвісу не адкрывае шлях да яго. Для IPsec сетка перад хастам павінна прапускаць UDP 500 і 4500 і, у залежнасці ад разгортвання, сам пратакол ESP. Скрыпт, які паспяхова завяршыўся за групай бяспекі, што скідвае пратакол 50, стварыў сервер, да якога ніхто не дастанецца, і нішто ў вывадзе ўсталёўшчыка пра гэта не скажа.

Што ўсталёўшчык фактычна бярэ на сябе

Чакайце файл канфігурацыі і сакрэтаў IPsec, канфігурацыю дэмана L2TP, опцыі PPP і юніты systemd, якія цяпер валодаюць гэтымі партамі. README праекта паведамляе, што існуючыя файлы канфігурацыі робяцца рэзервовымі копіямі перад зменамі, што карысна і не тое ж самае, што рэзервовая копія хаста. Вызначце, якія кампаненты будуць абнаўляцца пакетамі дыстрыбутыва, а якія — перазапускам або перапісваннем скрыпта, бо гэта два шляхі абслугоўвання з рознымі рэжымамі адмоў.

Замацуйце рэвізію, якую ўхвалілі. URL спампоўкі, які аддае бягучую галіну па змаўчанні, можа вярнуць іншы змест у наступным месяцы, таму запішыце commit ці выпуск, які вы запускалі, і захавайце яго копію. Гэтая адна звычка ператварае стан, які немагчыма прыпісаць, у нешта, пра што другі чалавек можа разважаць у другой гадзіне ночы.

Што скрыпт не можа вам перадаць

Аўтаматызацыя стварае працоўную ўсталёўку і на гэтым спыняецца. Яна не вырашае, якія прыватныя рэсурсы павінен дасягаць тунэль, — гэта пытанне палітыкі доступу, пра якую маюць думку і файрвол хаста, і вышэйстаячая сетка. Яна не вырашае, хто атрымлівае ўліковыя даныя, як яны дастаўляюцца і як доступ чалавека выдаляецца, калі ён сыходзіць. І яна не вырашае як аднаўляецца машына пасля дрэннага абнаўлення, а гэта менавіта тая частка, якую звычайна выяўляюць у найгоршы момант.

Кліенцкія профілі і паказаныя сакрэты — гэта матэрыял доступу, а не журналы ўсталёўкі. Згенераваны профіль, устаўлены ў агульны канал, — гэта ўліковы запіс, і той жа стандарт датычыцца здымкаў экрана са зводкай налад. Трымайце абаронены інвентар стану ідэнтычнасці, патрэбнага для аднаўлення сэрвісу, і адзначайце, якія з гэтых уліковых даных з тых часоў адкліканы.

Першы кліент — гэта прыёмачны тэст

Прыміце разгортванне з аднаго аўтарызаванага кліента, выкарыстоўваючы пратакол, які вы фактычна ўключылі. Праверце, што прыватнае імя развязаецца, што зваротны шлях працуе, што перападключэнне паводзіць сябе правільна і што прызначэнне па-за дазволеным наборам адхіляецца. Паспяховы ўваход з іншай кліенцкай праграмы не з’яўляецца доказам пра тую, якую вы адправілі.

Калі патрэбная вам камбінацыя больш не падтрымліваецца, выберыце шлях, які абслугоўваецца, да ўсталёўкі. Ажыўленне старога выпуску, аслабленне аўтэнтыфікацыі або перазапуск невытлумачанага скрыпта — гэта адтэрміноўкі, а не планы абслугоўвання, і кожная з іх ускладняе перадачу.

Напішыце старонку перадачы

Трымайце кароткім: сервер, рэвізія, якая яго пабудавала, патрэбныя парты, кампаненты і іх уладальнікі абнаўленняў, дазволеныя рэсурсы, шлях уліковых даных і працэдура аднаўлення. Дадайце кансольны або пазапаласны маршрут, які вы выкарыстаеце, калі менавіта змена тунэлю зламала доступ. Тады наступны чалавек атрымае ў спадчыну сэрвіс, а не каманду, якую баіцца запусціць двойчы.

Пераглядайце гэтую старонку, калі змяняецца хаст, а не толькі калі нешта ламаецца. Дакумент перадачы, які ніколі не чытаюць, — гэта дакумент, які ціха перастаў быць праўдай.