Než se z Juju charm stane vaše VPN: identita, kontrakt, porty

Někdo najde charm, který tvrdí, že provozuje VPN, nasadí ho, vystaví aplikaci a čeká, až se klient připojí. Nasazení uspěje, port se otevře a tunel přesto nefunguje, protože tři nesouvisející sliby byly sloučeny v jeden. Charm je implementace nasazení s konkrétním kontraktem. Projděte ty sliby odděleně a mezery se ukážou před nasazením, ne po něm.

Krok první: připněte artefakt, o kterém čtete

Přečtěte si vlastní metadata kandidáta: vydavatele, zdrojový repozitář, kanál, revizi, základnu a architekturu. Poté určete, kdo udržuje software VPN uvnitř pracovní zátěže a kdo dodává jeho bezpečnostní aktualizace, protože to jsou často dvě různé strany. Neudržovaný upstream uvnitř dobře udržovaného charmu je problém podpory čekající na špatný týden.

juju info CHARM_NAME hlásí kanály, základny a architektury v Juju 3.6 a dokumentace poznamenává, že dotaz na konkrétní revizi nelze kombinovat s těmito filtry. Ptejte se na revizi samostatně, místo abyste stavěli kombinaci, kterou příkaz odmítá. Přečtěte si také základnu a architekturu, protože kanál může pokrývat víc než jednu.

Zapište přesnou kombinaci, kterou jste zkontrolovali, vedle nasazení. Potom je obnovení, které posune kanál, záměrnou změnou s před a po, ne překvapením v pondělí.

Krok druhý: čtěte konfiguraci jako kontrakt

Určete roli, kterou charm hraje: ukončení vzdáleného přístupu, připojení k existující VPN, nebo něco úplně jiného. Potom najděte, jak dokumentuje registraci klientů, důvěryhodné vydavatele, rotaci pověření a odvolání. Tyto čtyři rozhodují, zda to můžete provozovat, a vygenerovaný klientský soubor je citlivý výstup, ne soubor pro tiket.

Sledujte rozhraní a akce, které charm skutečně vystavuje. Nepředpokládejte, že akce registrace existuje jen proto, že ji má jiný charm pro stejný software.

Zeptejte se, co dělá rekonciliace s ručními úpravami. Pokud charm při další aktualizaci přepíše konfigurační soubor, má ruční oprava životnost jednoho upgradu. Zeptejte se správců, kde je toto chování zdokumentováno, a mlčení berte jako neznámé.

Krok třetí: oddělte posluchač od předávané cesty

Vnější posluchač je socket, který přijímá tunel. Předávání je to, co se děje s provozem uvnitř, a zpětná cesta je to, co umožňuje odpovědím vrátit se. Charm může dodat první a nechat zbylé dvě na infrastrukturním týmu.

Východ je třetí díl. Pokud mají klienti tunelu dosáhnout internetu přes tento hostitel, musí existovat uspořádání adresování nebo překladu, a nevzniká otevřením portu. Přiřaďte tomuto dílu vlastníka dřív, než dorazí první klient.

Krok čtvrtý: vystavení je akce firewallu

V Juju 3.6 vystavení aplikace upravuje pravidla cloudového firewallu a ve výchozím nastavení povoluje provoz z libovolného zdroje na porty, které pracovní zátěž otevřela. Selektor endpoint a CIDR příkazu existují právě proto, aby se tento výchozí stav dal zúžit.

Vystavení nevytváří uživatele VPN, neověřuje jejich pověření a neinstaluje politiku předávání. Také nedokazuje, že pracovní zátěž naslouchá na adrese a transportu, který očekáváte, a proto je test po vystavení důležitější než zpráva o úspěchu. Zkontrolujte naslouchající socket na unitě i cloudové pravidlo.

Krok pátý: přijměte čtyřmi testy

Po schváleném nasazení zaregistrujte nového klienta a potvrďte zamýšlenou privátní službu. Potom tuto identitu odvolejte a potvrďte, že přístup skutečně končí, místo aby bylo jen odmítnuto další přihlášení. Kontrolu zopakujte ze sítě, kterou neovládáte, a pak zevnitř kanceláře, protože tyto dvě cesty odpovídají na různé otázky.

Skončete upgradem a opětovným připojením, protože tam se potkává rekonciliace, zacházení s pověřeními a restarty služeb. Pokud dokumentace neumí vysvětlit, kdo vlastní jednu z těchto operací, napište to jako mezeru v adopci, místo abyste ji vyplnili neudržovaným receptem za stejným jménem charmu. Zapsaná mezera je rozhodnutí; tiše vyplněná mezera je budoucí výpadek. Předejte ji tomu, kdo vlastní rozhodnutí o službě, s datem, kdy jste ji našli.