След като скриптът за настройка приключи, някой трябва да отговаря за VPN сървъра

Две различни задачи се продават като една: превръщането на машина в VPN сървър и добавянето на VPN клиент към лаптоп, който трябва да се присъедини към нечия друга шлюз. Скриптът за настройка отговаря на първата и не може да отговори на втората, каквото и да внушава README файлът му. Вземете проектът setup-ipsec-vpn като конкретен пример: той изгражда IPsec/L2TP, Cisco IPsec или IKEv2 сървър на поддържан Linux хост с Libreswan и xl2tpd. Това е договор за внедряване на сървър, а не обща рецепта за всяка машина. Решете каква задача имате, преди скриптът да тръгне, защото всичко след това е за сървъра.

Бъдете честни за хоста

Машина, която също терминира нещо друго, или чиято защитна стена се управлява от облачен контролен панел, а не от операционната система, е различна инсталация от чиста виртуална машина. Запишете протокола, който включвате, и изданието, което използвате, после проверете и двете в списъка за поддръжка на проекта, а не в блог публикация от миналата година.

Включването на услугата не отваря пътя към нея. За IPsec мрежата пред хоста трябва да допуска UDP 500 и 4500 и, в зависимост от внедряването, самия протокол ESP. Скрипт, който завършва успешно зад група за сигурност, която изхвърля протокол 50, е създал сървър, до който никой не може да стигне, и нищо в изхода на инсталатора няма да го каже.

Какво всъщност поема инсталаторът

Очаквайте конфигурационен файл и файл с тайни за IPsec, конфигурация на L2TP демон, PPP опции и systemd единици, които вече притежават тези портове. README файлът на проекта посочва, че съществуващите конфигурационни файлове се архивират преди промени, което е полезно и не е същото като резервно копие на хоста. Решете кои компоненти ще се обновяват от пакетите на дистрибуцията и кои чрез повторно стартиране или пренаписване на скрипта, защото това са два пътя за поддръжка с различни режими на отказ.

Фиксирайте ревизията, която сте одобрили. URL за изтегляне, който обслужва текущия клон по подразбиране, може да върне различно съдържание следващия месец, затова запишете commit или изданието, което сте стартирали, и запазете копие. Този навик превръща състояние, което не може да се припише, в нещо, за което втори човек може да разсъждава в два часа през нощта.

Какво скриптът не може да ви даде

Автоматизацията произвежда работеща инсталация и спира дотам. Тя не решава кои частни ресурси трябва да достигне тунелът, а това е въпрос на политика за достъп, по който имат мнение и защитната стена на хоста, и мрежата отгоре. Не решава кой получава идентификационни данни, как се доставят и как достъпът на човек се премахва, когато той напусне. И не решава как се възстановява машината след лошо обновяване, а това е частта, която обикновено се открива в най-неподходящия момент.

Клиентските профили и показаните тайни са материал за достъп, а не инсталационни записи. Генериран профил, поставен в споделен канал, е акаунт, и същият стандарт важи за екранни снимки на обобщението на настройката. Пазете защитен инвентар на идентификационното състояние, нужно за възстановяване на услугата, и отбелязвайте кои от тези данни са били оттеглени оттогава.

Първият клиент е приемният тест

Приемете внедряването от един упълномощен клиент, използвайки протокола, който действително сте включили. Проверете дали частното име се разрешава, дали обратният път работи, дали повторното свързване се държи правилно и дали дестинация извън разрешеното множество се отказва. Успешен вход от друго клиентско приложение не е доказателство за това, което сте доставили.

Ако комбинацията, която искате, вече не се поддържа, изберете поддържан път преди инсталацията. Съживяването на старо издание, отслабването на удостоверяването или повторното стартиране на необяснен скрипт са отлагания, а не планове за поддръжка, и всяко от тях прави предаването по-трудно.

Напишете страницата за предаване

Дръжте я кратка: сървърът, ревизията, която го е изградила, портовете, които са му нужни, компонентите и техните собственици на обновявания, разрешените ресурси, пътят на идентификационните данни и процедурата за възстановяване. Добавете конзолния или извънлентовия маршрут, който ще използвате, когато именно промяна в тунела е счупила достъпа. Тогава следващият човек наследява услуга, а не команда, от която се страхува да пусне два пъти.

Преглеждайте тази страница, когато хостът се промени, а не само когато нещо се счупи. Документ за предаване, който никога не се чете, е документ, който тихо е престанал да бъде верен.