Po spuštění instalačního skriptu musí někdo vlastnit server VPN

Dvě různé práce se prodávají jako jedna: přeměna stroje na server VPN a přidání klienta VPN na notebook, který se má připojit k cizí bráně. Instalační skript odpovídá na první a nemůže odpovědět na druhou, ať jeho README naznačuje cokoli. Vezměte projekt setup-ipsec-vpn jako konkrétní příklad: staví server IPsec/L2TP, Cisco IPsec nebo IKEv2 na podporovaném hostiteli Linux pomocí Libreswan a xl2tpd. To je smlouva o nasazení pro server, ne obecný recept pro jakýkoli stroj. Rozhodněte, jakou práci máte, než se skript spustí, protože vše další se týká serveru.

Buďte upřímní ohledně hostitele

Stroj, který také ukončuje něco jiného, nebo jehož firewall řídí cloudová řídicí rovina místo operačního systému, je jiná instalace než čistý virtuální stroj. Zapište protokol, který zapínáte, a vydání, které používáte, a obojí zkontrolujte proti seznamu podpory projektu, ne proti blogovému příspěvku z loňského roku.

Zapnutí služby neotevře cestu k ní. U IPsec musí síť před hostitelem propouštět UDP 500 a 4500 a podle nasazení i samotný protokol ESP. Skript, který úspěšně skončí za bezpečnostní skupinou zahazující protokol 50, vytvořil server, ke kterému se nikdo nedostane, a nic ve výstupu instalátoru to neřekne.

Co instalátor skutečně přebírá

Očekávejte konfiguraci a soubor tajemství IPsec, konfiguraci daemonu L2TP, volby PPP a jednotky systemd, které nyní vlastní tyto porty. README projektu uvádí, že existující konfigurační soubory se před změnami zálohují, což je užitečné a není totéž jako záloha hostitele. Rozhodněte, které komponenty se budou aktualizovat balíčky distribuce a které opětovným spuštěním nebo přepsáním skriptu, protože to jsou dvě cesty údržby s různými režimy selhání.

Připněte revizi, kterou jste schválili. URL ke stažení, které servíruje aktuální výchozí větev, může příští měsíc vrátit jiný obsah, takže si zapište commit nebo vydání, které jste spustili, a uchovejte jeho kopii. Tento jediný návyk mění nepřiřaditelný stav v něco, o čem může druhý člověk uvažovat ve dvě ráno.

Co vám skript nemůže dát

Automatizace vytvoří funkční instalaci a tam skončí. Nerozhoduje, které soukromé zdroje má tunel dosáhnout, což je otázka politiky přístupu, ke které má co říct firewall hostitele i síť nad ním. Nerozhoduje, kdo dostane přihlašovací údaje, jak se doručí ani jak se něčí přístup odstraní, když odejde. A nerozhoduje jak se stroj obnovuje po špatné aktualizaci, což je část, která se obvykle objeví v nejhorší možný okamžik.

Klientské profily a zobrazená tajemství jsou přístupový materiál, ne instalační záznamy. Vygenerovaný profil vložený do sdíleného kanálu je účet a stejný standard platí pro snímky obrazovky se shrnutím nastavení. Veďte chráněný inventář stavu identity potřebného k obnově služby a poznamenejte, které z těchto údajů byly od té doby odvolány.

První klient je akceptační test

Přijměte nasazení od jednoho autorizovaného klienta s protokolem, který jste skutečně zapnuli. Zkontrolujte, že se soukromé jméno překládá, že zpáteční cesta funguje, že se opětovné připojení chová správně a že cíl mimo povolenou množinu je odmítnut. Úspěšné přihlášení z jiné klientské aplikace není důkazem o té, kterou jste vydali.

Pokud kombinace, kterou chcete, už není podporovaná, zvolte před instalací udržovanou cestu. Oživování starého vydání, oslabování autentizace nebo opětovné spouštění nevysvětleného skriptu jsou odklady, ne plány údržby, a každý z nich předání ztěžuje.

Napište stránku předání

Držte to krátké: server, revize, která jej postavila, porty, které potřebuje, komponenty a jejich vlastníci aktualizací, povolené zdroje, cesta údajů a postup obnovy. Přidejte konzolovou nebo mimosíťovou cestu, kterou použijete, když právě změna tunelu rozbila přístup. Pak další člověk zdědí službu, ne příkaz, který se bojí spustit dvakrát.

Tuto stránku revidujte, když se změní hostitel, a ne jen když se něco rozbije. Dokument předání, který se nikdy nečte, je dokument, který tiše přestal být pravdivý.