Després del script de configuració, algú ha de ser responsable del servidor VPN

Es venen dues feines diferents com si fossin una: convertir una màquina en un servidor VPN i afegir un client VPN a un portàtil que ha de connectar-se a la passarel·la d’una altra persona. El script de configuració respon a la primera i no pot respondre a la segona, digui el que digui el seu README. Preneu el projecte setup-ipsec-vpn com a exemple concret: construeix un servidor IPsec/L2TP, Cisco IPsec o IKEv2 en un amfitrió Linux admès amb Libreswan i xl2tpd. Aquest és un contracte de desplegament per a un servidor, no una recepta general per a qualsevol màquina. Decidiu quina feina teniu abans que s’executi el script, perquè tot el que ve després tracta del servidor.

Sigueu honestos sobre l’amfitrió

Una màquina que també acaba un altre servei, o el tallafoc de la qual es gestiona des d’un pla de control al núvol en lloc del sistema operatiu, és una instal·lació diferent d’una màquina virtual neta. Anoteu el protocol que activeu i la versió que feu servir, i després comproveu tots dos contra la llista de suport del projecte, no contra una entrada de blog de l’any passat.

Activar el servei no obre el camí cap a ell. Per a IPsec, la xarxa davant de l’amfitrió ha d’admetre UDP 500 i 4500 i, segons el desplegament, el mateix protocol ESP. Un script que acaba amb èxit darrere d’un grup de seguretat que descarta el protocol 50 ha produït un servidor al qual ningú no pot arribar, i res a la sortida de l’instal·lador ho dirà.

Què assumeix realment l’instal·lador

Espereu un fitxer de configuració i de secrets d’IPsec, una configuració del dimoni L2TP, opcions PPP i unitats systemd que ara posseeixen aquests ports. El README del projecte indica que els fitxers de configuració existents es copien abans dels canvis, cosa útil i que no és el mateix que una còpia de seguretat de l’amfitrió. Decidiu quins components s’actualitzaran amb els paquets de la distribució i quins tornant a executar o reescrivint el script, perquè són dues vies de manteniment amb modes de fallada diferents.

Fixeu la revisió que heu aprovat. Un URL de descàrrega que serveix la branca predeterminada actual pot retornar contingut diferent el mes vinent, així que anoteu el commit o la versió que heu executat i guardeu-ne una còpia. Aquest sol hàbit converteix un estat no atribuïble en una cosa sobre la qual una segona persona pot raonar a les dues de la matinada.

Què no us pot donar el script

L’automatització produeix una instal·lació funcional i s’atura aquí. No decideix quins recursos privats ha d’assolir el túnel, que és una qüestió de política d’accés sobre la qual el tallafoc de l’amfitrió i la xarxa superior tenen opinió. No decideix qui rep credencials, com es lliuren ni com es retira l’accés d’una persona quan marxa. I no decideix com es recupera la màquina després d’una actualització dolenta, que és la part que normalment es descobreix en el pitjor moment possible.

Els perfils de client i els secrets mostrats són material d’accés, no registres d’instal·lació. Un perfil generat enganxat en un canal compartit és un compte, i el mateix estàndard s’aplica a les captures de pantalla del resum de configuració. Manteniu un inventari protegit de l’estat d’identitat necessari per restaurar el servei i anoteu quines d’aquestes credencials s’han revocat des de llavors.

El primer client és la prova d’acceptació

Accepteu el desplegament des d’un client autoritzat, amb el protocol que realment heu activat. Comproveu que el nom privat es resol, que el camí de tornada funciona, que una reconnexió es comporta bé i que es rebutja una destinació fora del conjunt permès. Un inici de sessió correcte des d’una altra aplicació client no és prova de la que heu lliurat.

Si la combinació que voleu ja no és compatible, trieu una via mantinguda abans de la instal·lació. Revifar una versió antiga, debilitar l’autenticació o tornar a executar un script no explicat són ajornaments, no plans de manteniment, i cadascun fa més difícil el traspàs.

Escriviu la pàgina de traspàs

Feu-la curta: el servidor, la revisió que el va construir, els ports que necessita, els components i els seus responsables d’actualització, els recursos permesos, el camí de les credencials i el procediment de recuperació. Afegiu la ruta de consola o fora de banda que fareu servir quan un canvi al túnel sigui el que ha trencat l’accés. Llavors la persona següent hereta un servei en lloc d’una ordre que té por d’executar dues vegades.

Reviseu aquesta pàgina quan canviï l’amfitrió, i no només quan alguna cosa es trenqui. Un document de traspàs que mai no es llegeix és un document que va deixar de ser cert en silenci.