Перш чым Juju-charm стане вашым VPN: ідэнтычнасць, кантракт, порты

Хтосьці знаходзіць charm, які нібыта запускае VPN, разгортвае яго, адкрывае доступ да праграмы і чакае, пакуль кліент падключыцца. Разгортванне ўдаецца, порт адкрываецца, а тунель усё роўна не працуе, бо тры незвязаныя абяцанні былі зведзены ў адно. Charm — гэта рэалізацыя разгортвання з пэўным кантрактам. Разгледзьце гэтыя абяцанні паасобку, і прагалы выявяцца перад выпускам, а не пасля.

Крок першы: замацуйце артэфакт, пра які вы чытаеце

Прачытайце ўласныя метаданыя кандыдата: выдавец, зыходны рэпазіторый, канал, рэвізія, база і архітэктура. Затым вызначце, хто суправаджае праграмнае забеспячэнне VPN унутры рабочай нагрузкі і хто пастаўляе яго абнаўленні бяспекі, бо гэта часта дзве розныя старонкі. Неабслугоўваны upstream унутры добра абслугоўванага charm — гэта праблема падтрымкі, якая чакае дрэннага тыдня.

juju info CHARM_NAME паведамляе пра каналы, базы і архітэктуры ў Juju 3.6, і дакументацыя адзначае, што запыт пэўнай рэвізіі нельга спалучаць з гэтымі фільтрамі. Запытайце рэвізію асобна, замест таго каб будаваць спалучэнне, якое каманда адхіляе. Прачытайце таксама базу і архітэктуру, бо канал можа ахопліваць больш за адну.

Запішыце дакладнае спалучэнне, якое вы разгледзелі, побач з разгортваннем. Тады абнаўленне, якое зрушвае канал, будзе наўмыснай зменай з «да» і «пасля», а не сюрпрызам у панядзелак.

Крок другі: чытайце канфігурацыю як кантракт

Вызначце ролю, якую адыгрывае charm: завяршэнне аддаленага доступу, далучэнне да існуючага VPN або нешта зусім іншае. Затым знайдзіце, як ён дакументуе рэгістрацыю кліентаў, давераных выдаўцоў, ратацыю ўліковых даных і адкліканне. Гэтыя чатыры вызначаюць, ці зможаце вы гэтым кіраваць, а створаны файл кліента — гэта адчувальны вывад, а не файл для заяўкі.

Ідзіце па інтэрфейсах і дзеяннях, якія charm фактычна прадстаўляе. Не мяркуйце, што дзеянне рэгістрацыі існуе, толькі таму што іншы charm для таго ж праграмнага забеспячэння мае такое.

Спытайце, што згладжванне робіць з ручнымі правакамі. Калі charm перазапісвае файл канфігурацыі пры наступным абнаўленні, ручная выпраўленне мае тэрмін прыдатнасці ў адно абнаўленне. Спытайце суправаджальнікаў, дзе гэтыя паводзіны задокументаваны, і лічыце маўчанне невядомым.

Крок трэці: аддзяліце слухача ад перанакіраванага шляху

Знешні слухач — гэта сокет, які прымае тунель. Перанакіраванне — гэта тое, што адбываецца з трафікам унутры яго, а зваротны шлях — гэта тое, што дазваляе адказам вяртацца. Charm можа забяспечыць першае і пакінуць два іншыя камандзе інфраструктуры.

Выхад — гэта трэцяя частка. Калі кліенты тунеля павінны дасягаць інтэрнэту праз гэты хост, павінна існаваць схема адрасацыі або трансляцыі, і яна не ствараецца адкрыццём порта. Прызначце ўласніка гэтай часткі перад прыходам першага кліента.

Крок чацвёрты: экспанаванне — гэта дзеянне брандмаўэра

У Juju 3.6 экспанаванне праграмы карэктуе правілы воблачнага брандмаўэра, і па змаўчанні яно дазваляе трафік з любой крыніцы да партоў, якія адкрыла рабочая нагрузка. Селектары endpoint і CIDR каманды існуюць менавіта для таго, каб гэтае значэнне па змаўчанні можна было звузіць.

Экспанаванне не стварае карыстальнікаў VPN, не правярае іх уліковыя даныя і не ўсталёўвае палітыку перанакіравання. Яно таксама не даказвае, што рабочая нагрузка слухае на адрасе і транспарце, якіх вы чакаеце, таму тэст пасля экспанавання важнейшы за паведамленне пра поспех. Праверце сокет, які слухае, на юніце, а таксама воблачнае правіла.

Крок пяты: прымайце чатырма тэстамі

Пасля ўзгодненага разгортвання зарэгіструйце новага кліента і пацвердзіце прызначаную прыватную паслугу. Затым адклічце гэтую ідэнтычнасць і пацвердзіце, што доступ сапраўды спыняецца, а не толькі адхіляецца наступны ўваход. Паўтарыце праверку з сеткі, якой вы не кіруеце, а затым знутры офіса, бо гэтыя два шляхі адказваюць на розныя пытанні.

Завяршыце абнаўленнем і паўторным падключэннем, бо менавіта там узаемадзейнічаюць згладжванне, апрацоўка ўліковых даных і перазапускі службаў. Калі дакументацыя не можа растлумачыць, хто валодае адной з гэтых аперацый, запішыце гэта як прагал адаптацыі, замест таго каб запаўняць яго неабслугоўваным рэцэптам за тым жа імем charm. Запісаны прагал — гэта рашэнне; прагал, ціха запоўнены, — гэта будучы збой. Перадайце яго таму, хто валодае рашэннем аб паслузе, з датай, калі вы яго знайшлі.