Што павінна хутка адказаць невялікая інструкцыя па VPN

Адміністратар, які прыняў змену ў 02:00, не мог сказаць, ці здаровая служба, бо дакумент тлумачыў праект і ніколі не казаў, што запускаць. Перадаць файл камусьці іншаму і пайсці з пакоя — гэта адзіны тэст, які мае значэнне. Большасць невялікіх нататак пра VPN правальваюць яго на другой старонцы. Форма ніжэй вытрымлівае гэты тэст, і нішто ў ёй не павінна быць доўгім.

Пачніце з карты, якую стомлены чалавек можа прагледзець

Запішыце, што нехта мусіць тэрмінова паглядзець: імёны, да якіх падключаюцца кліенты, порты, на якіх слухае дэман, пулы адрасоў, якія ён выдае, як развязаюцца імёны кліентаў і якія сеткі за тунелем павінны быць даступныя. Дадайце нумар зборкі, якую вы насамрэч запускаеце, і назвіце кампанент, якому належыць кожная рухомая частка, бо маршруты, фільтр пакетаў і профілі кліентаў часта наладжваюцца ў трох розных месцах. Адзначце таксама знешнія залежнасці: уліковы запіс хастынгу, верхні канал, пастаўшчыка ідэнтычнасці і прыватныя сеткі на далёкім канцы. Табліца або намаляваная ад рукі схема перадае гэта лепш за абзацы, бо чытач праглядае, а не чытае.

Затым назвіце людзей, якія могуць дазволіць экстраную змену, з кантактам, які не залежыць ад таго, ці працуе тунель. Лінія эскалацыі без запаснога варыянту — тупік менавіта ў тым інцыдэнце, які яе патрабуе. Двух імёнаў і аднаго тэлефона дастаткова; карта — не штатны спіс.

Кожная праверка патрабуе адказу, які лічыцца здаровым

Для кожнай службы пастаўце каманду і радок, які азначае, што яна спрацавала, побач, каб чытачу ніколі не даводзілася выводзіць адно з другога на хаду. Стан працэсу і дасягальнасць ад канца да канца ляжаць на розных узроўнях: адзін паказвае, што дэман прыняў сваю канфігурацыю, другі — што кліент можа скарыстаць тое, што прапануе тунель. Напішыце абодва радкі і скажыце, якую адмову кожны з іх ловіць, бо праверка без названага выніку ператвараецца ў спрэчку пра тое, ці выглядае вывад добра.

systemctl status openvpn-server@lab
ss -lntu | grep 1194

Запусціце абодва і стаўцеся да іх як да асобных доказаў, а не як да паслядоўнасці. Зялёны юніт можа стаяць побач з тунелем, якім ніхто не можа карыстацца, і адваротнае здараецца, калі слухач перажывае зламаны маршрут. Пазначце ўзровень, які назірае кожны радок, і чытач будзе ведаць, якому верыць, калі яны разыходзяцца.

Тры адмовы пакрываюць большасць начэй

Недасягальны канчатковы пункт, адхіленая ідэнтычнасць і падключэнне без карыснага трафіку тлумачаць амаль усё, што кагосьці будзіць. Для кожнага пералічыце першыя дзве праверкі і чалавека, да якога эскалацыя, каб ніхто не мусіў выдумляць парадак дыягностыкі ў 02:00. Недасягальнасць звычайна ўказвае на шлях або слухача, адхіленая ідэнтычнасць — на сертыфікат, сховішча ўліковых даных або гадзіннік, а пустое злучэнне — на маршруты, перанакіраванне або развязанне імёнаў. Гэтыя тры галіны чытаюць розныя журналы, таму галіну трэба выбраць да таго, як адкрыць журнал.

Стаўце спасылку на вышэйшую дакументацыю замест таго, каб устаўляць каманды, якія вы не запускалі на гэтым хосце. Неправераная каманда, скапіяваная з іншага асяроддзя, горш за спасылку, бо яна выглядае аўтарытэтна і ціха правальваецца.

Запішыце змену як паслядоўнасць, а не як абзац

Для любой змены запішыце кропку вяртання, праверку, якая пацвярджае поспех, і ўмову, якая запускае адкат, менавіта ў гэтым парадку. Уключыце шлях назад, які не ідзе праз тунель, бо менавіта змена, якую вы робіце, можа яго зачыніць. Адзначце, як будуць адноўлены бягучыя адкліканні, а не стары здымак, бо састарэлы спіс ціха зноў прымае ўліковыя даныя, якія былі знятыя раніцай. Нумараваныя загадныя крокі вытрымліваюць ціск; проза ператвараецца ў тлумачэнне.

Практыкуйце гэты шлях назад да таго, як ён спатрэбіцца, кожны раз, калі змена дастаткова вялікая, каб мець значэнне. Адкат, напісаны па памяці, — здагадка з датай.

Уліковыя даныя жывуць у іншым месцы

Спасылайцеся на менеджар пароляў, сховішча або запячатаны канверт і скажыце, каму можна яго адкрыць, замест таго каб цытаваць любы матэрыял у файле. Прыватныя ключы, аднаразовыя коды аднаўлення і профілі, што ўтрымліваюць сакрэт, належаць у абароненае сховішча, і старонка павінна тлумачыць, як упаўнаважаны адміністратар дабіраецца да іх у 02:00. Ніколі не выкарыстоўвайце жывы сакрэт як прыклад, бо прыклады ўстаўляюць у тыкеты і чаты. Спасылка плюс спіс дазволаў — усё, што патрэбна дакументу.

Перагледзьце файл пасля рэальнай змены або вучэнняў па аднаўленні, выдаліце шляхі, якіх больш няма, і адзначце, чыя справа — наступнае рашэнне аб абслугоўванні. Трымайце ў канцы журнал змен з трыма слупкамі: дата, што змянілася, хто праверыў. Менавіта гэтая старонка кажа наступнаму чытачу, ці астатняе актуальнае, і дакументацыя systemctl ад systemd — лепшая спасылка, чым пераказ каманд службы, якія з часам з'едуць.