Преди един charm на Juju да стане вашата VPN: идентичност, договор, портове

Някой намира charm, който твърди, че пуска VPN, разгръща го, експонира приложението и чака клиент да се свърже. Разгръщането успява, портът се отваря, а тунелът все още не работи, защото три несвързани обещания са слети в едно. Charm е реализация на разгръщане със специфичен договор. Разгледайте тези обещания поотделно и пропуските ще се покажат преди пускането, а не след него.

Стъпка първа: фиксирайте артефакта, за който четете

Прочетете собствените метаданни на кандидата за издател, хранилище на източника, канал, ревизия, база и архитектура. След това установете кой поддържа VPN софтуера вътре в работното натоварване и кой доставя неговите актуализации за сигурност, защото често това са две различни страни. Неподдържан upstream вътре в добре поддържан charm е проблем за поддръжката, който чака лоша седмица.

juju info CHARM_NAME отчита канали, бази и архитектури в Juju 3.6, а документацията отбелязва, че заявка за конкретна ревизия не може да се комбинира с тези филтри. Питайте за ревизията самостоятелно, вместо да изграждате комбинация, която командата отхвърля. Прочетете и базата и архитектурата, тъй като един канал може да покрива повече от една.

Запишете точната комбинация, която прегледахте, до разгръщането. Тогава обновяване, което мести канала, е умишлена промяна с преди и след, а не изненада в понеделник.

Стъпка втора: прочетете конфигурацията като договор

Определете ролята, която играе charm: прекратяване на отдалечен достъп, присъединяване към съществуваща VPN или нещо съвсем друго. След това намерете как документира записването на клиенти, доверените издатели, ротацията на идентификационни данни и отмяната. Тези четири решават дали можете да го управлявате, а генерираният клиентски файл е чувствителен изход, а не файл за тикет.

Следвайте интерфейсите и действията, които charm действително предоставя. Не предполагайте, че съществува действие за записване, само защото друг charm за същия софтуер има такова.

Питайте какво прави съгласуването с ръчните промени. Ако charm презапише конфигурационен файл при следващата актуализация, ръчна корекция има срок на годност от едно обновяване. Питайте поддържащите къде е документирано това поведение и считайте мълчанието за неизвестно.

Стъпка трета: отделете слушателя от препратения път

Външният слушател е сокетът, който приема тунела. Препращането е това, което се случва с трафика вътре в него, а обратният път е това, което позволява отговорите да се върнат. Един charm може да достави първото и да остави другите две на инфраструктурния екип.

Изходът е трето парче. Ако клиентите на тунела трябва да достигнат интернет през този хост, трябва да съществува схема за адресиране или транслация, и тя не се създава чрез отваряне на порт. Назначете собственик на това парче преди пристигането на първия клиент.

Стъпка четвърта: експонирането е действие на защитна стена

В Juju 3.6 експонирането на приложение настройва правилата на облачната защитна стена и по подразбиране разрешава трафик от всякакъв източник към портовете, които работното натоварване е отворило. Селекторите endpoint и CIDR на командата съществуват точно за да може това подразбиране да се стесни.

Експонирането не създава VPN потребители, не валидира техните идентификационни данни и не инсталира политика за препращане. То също не доказва, че работното натоварване слуша на адреса и транспорта, които очаквате, поради което тестът след експонирането е по-важен от съобщението за успех. Проверете слушащия сокет на юнита, както и облачното правило.

Стъпка пета: приемете с четири теста

След одобрено разгръщане запишете нов клиент и потвърдете предвидената частна услуга. След това отменете тази идентичност и потвърдете, че достъпът наистина свършва, вместо само следващият вход да бъде отказан. Повторете проверката от мрежа, която не контролирате, и след това отвътре в офиса, защото тези два пътя отговарят на различни въпроси.

Завършете с обновяване и повторно свързване, защото там взаимодействат съгласуването, обработката на идентификационни данни и рестартите на услуги. Ако документацията не може да обясни кой притежава една от тези операции, запишете това като пропуск в приемането, вместо да го запълвате с неподдържана рецепта зад същото име на charm. Записан пропуск е решение; пропуск, запълнен тихо, е бъдещо прекъсване. Предайте го на този, който притежава решението за услугата, с датата, на която сте го намерили.