Nakon skripte za postavljanje neko mora preuzeti vlasnistvo nad VPN serverom

Dva razlicita posla prodaju se kao jedan: pretvaranje masine u VPN server i dodavanje VPN klijenta na laptop koji treba da se pridruzi tudjem gatewayu. Skripta za postavljanje odgovara na prvi i ne moze odgovoriti na drugi, sta god njen README sugerisao. Uzmite projekat setup-ipsec-vpn kao konkretan primjer: ona gradi IPsec/L2TP, Cisco IPsec ili IKEv2 server na podrzanom Linux hostu koristeci Libreswan i xl2tpd. To je ugovor o postavljanju za server, a ne opsti recept za bilo koju masinu. Odredite koji posao imate prije nego skripta krene, jer se sve poslije toga odnosi na server.

Budite iskreni u vezi s hostom

Masina koja prekida i nesto drugo, ili ciji firewallom upravlja cloud kontrolna ravan umjesto operativnog sistema, drugacija je instalacija od ciste virtualne masine. Zapisite protokol koji ukljucujete i izdanje koje koristite, pa oboje provjerite prema listi podrske projekta, a ne prema blog postu od prosle godine.

Ukljucivanje usluge ne otvara put do nje. Za IPsec mreza ispred hosta mora propustati UDP 500 i 4500 i, zavisno od postavljanja, sam ESP protokol. Skripta koja uspjesno zavrsi iza sigurnosne grupe koja odbacuje protokol 50 proizvela je server do kojeg niko ne moze doci, i nista u izlazu instalatera to nece reci.

Sta instalater zapravo preuzima

Ocekujte IPsec konfiguraciju i datoteku tajni, konfiguraciju L2TP demona, PPP opcije i systemd jedinice koje sada posjeduju te portove. README projekta navodi da se postojece konfiguracijske datoteke sigurnosno kopiraju prije promjena, sto je korisno i nije isto kao sigurnosna kopija hosta. Odlucite koji ce se komponenti azurirati paketima distribucije, a koji ponovnim pokretanjem ili prepisivanjem skripte, jer su to dva puta odrzavanja s razlicitim nacinima otkaza.

Fiksirajte reviziju koju ste odobrili. URL za preuzimanje koji posluzuje trenutnu zadanu granu moze sljedeci mjesec vratiti drugaciji sadrzaj, pa zabiljezite commit ili izdanje koje ste pokrenuli i sacuvajte njegovu kopiju. Ta jedna navika pretvara stanje koje se ne moze pripisati u nesto o cemu druga osoba moze razmisljati u dva sata ujutro.

Sta vam skripta ne moze dati

Automatizacija proizvodi radnu instalaciju i tu se zaustavlja. Ona ne odlucuje koje privatne resurse tunel treba dosegnuti, a to je pitanje politike pristupa o kojoj misljenje imaju i firewall hosta i mreza iznad. Ne odlucuje ko prima akreditive, kako se dostavljaju ni kako se neciji pristup uklanja kada osoba ode. I ne odlucuje kako se masina oporavlja nakon loseg azuriranja, a to je dio koji se obicno otkrije u najgorem mogucem trenutku.

Klijentski profili i prikazane tajne su pristupni materijal, a ne instalacijski zapisi. Generisani profil zalijepljen u zajednicki kanal je racun, a isti standard vazi i za snimke ekrana sazetka postavljanja. Vodite zasticeni inventar identitetskog stanja potrebnog za obnovu usluge i zabiljezite koje su od tih akreditiva u meduvremenu opozvane.

Prvi klijent je prijemni test

Prihvatite postavljanje s jednog ovlastenog klijenta, koristeci protokol koji ste stvarno ukljucili. Provjerite da se privatno ime razrjesava, da povratni put radi, da se ponovno povezivanje ponasa ispravno i da se odrediste izvan dozvoljenog skupa odbija. Uspjesna prijava iz druge klijentske aplikacije nije dokaz o onoj koju ste isporucili.

Ako kombinacija koju zelite vise nije podrzana, odaberite odrzavani put prije instalacije. Ozivljavanje starog izdanja, slabljenje autentikacije ili ponovno pokretanje neobjasnjene skripte su odgode, a ne planovi odrzavanja, i svaki od njih otezava primopredaju.

Napiste stranicu primopredaje

Neka bude kratka: server, revizija koja ga je izgradila, portovi koji su mu potrebni, komponenti i njihovi vlasnici azuriranja, dozvoljeni resursi, putanja akreditiva i procedura oporavka. Dodajte konzolni ili vanpojasni put koji cete koristiti kada je promjena na tunelu ono sto je pokvarilo pristup. Tada sljedeca osoba nasljeduje uslugu, a ne naredbu koju se boji pokrenuti dvaput.

Pregledajte tu stranicu kada se host promijeni, i to ne samo kada se nesto pokvari. Dokument primopredaje koji se nikad ne cita dokument je koji je tiho prestao biti istinit.