Co musí malý provozní sešit VPN stihnout zodpovědět

Správce, který převzal směnu ve 02:00, nedokázal říct, jestli je služba zdravá, protože dokument vysvětloval návrh a nikdy neřekl, co spustit. Předat soubor někomu jinému a pak odejít z místnosti je jediný test, na kterém záleží. Většina malých poznámek k VPN na něm selže už na druhé stránce. Podoba níže tímto testem projde a nic v ní nemusí být dlouhé.

Začněte mapou, kterou unavený člověk projde očima

Zapište, co si někdo musí za běhu dohledat: jména, na která se klienti připojují, porty, na kterých démon naslouchá, fondy adres, které rozdává, jak se překládají jména klientů a které sítě za tunelem mají být dostupné. Doplňte číslo sestavení, které skutečně provozujete, a pojmenujte komponentu, které patří každá pohyblivá část, protože trasy, filtr paketů a profily klientů se často konfigurují na třech různých místech. Poznamenejte i vnější závislosti: hostingový účet, přípojku, poskytovatele identity a privátní sítě na vzdáleném konci. Tabulka nebo ručně kreslené schéma to unese lépe než odstavce, protože čtenář stránku prohlíží, nečte.

Pak pojmenujte lidi, kteří mohou schválit mimořádnou změnu, s kontaktní cestou, která nezávisí na tom, jestli tunel běží. Eskalační linka bez zálohy je slepá ulička právě v incidentu, který ji potřebuje. Dvě jména a jedno telefonní číslo stačí; mapa není seznam zaměstnanců.

Každá kontrola potřebuje odpověď, která se počítá za zdravou

U každé služby dejte příkaz a řádek, který znamená, že uspěla, vedle sebe, aby čtenář nikdy nemusel jedno odvozovat z druhého ve spěchu. Stav procesu a dosažitelnost od konce ke konci leží v různých vrstvách: jedno ukazuje, že démon přijal konfiguraci, druhé, že klient může použít to, co tunel nabízí. Napište oba řádky a řekněte, kterou poruchu každý z nich zachytí, protože kontrola bez uvedeného výsledku se zvrhne v hádku o tom, jestli výstup vypadá dobře.

systemctl status openvpn-server@lab
ss -lntu | grep 1194

Spusťte oba a berte je jako oddělené důkazy, ne jako posloupnost. Zelená jednotka může stát vedle tunelu, který nikdo nemůže použít, a opak nastane, když naslouchající proces přežije rozbitou trasu. Uveďte vrstvu, kterou každý řádek sleduje, a čtenář bude vědět, kterému věřit, když se rozcházejí.

Tři poruchy pokryjí většinu nocí

Nedostupný koncový bod, odmítnutá identita a připojení bez užitečného provozu vysvětlují téměř vše, co někoho probudí. U každé vypište první dvě kontroly a člověka, na kterého se eskaluje, aby nikdo nemusel ve 02:00 vymýšlet pořadí diagnostiky. Nedostupnost obvykle ukazuje na cestu nebo naslouchající proces, odmítnutá identita na certifikát, úložiště přihlašovacích údajů nebo hodiny, a prázdné spojení na trasy, předávání nebo překlad jmen. Tyto tři větve čtou různé záznamy, a proto se větev musí zvolit dřív, než se záznam otevře.

Odkazujte na dokumentaci výše místo vkládání příkazů, které jste na tomto hostu nespustili. Neotestovaný příkaz zkopírovaný z jiného prostředí je horší než odkaz, protože vypadá autoritativně a tiše selhává.

Zapište změnu jako posloupnost, ne jako odstavec

U každé změny zaznamenejte kontrolní bod, ke kterému se můžete vrátit, kontrolu, která potvrdí úspěch, a podmínku, která spustí vrácení, právě v tomto pořadí. Zahrňte cestu zpět, která nevede tunelem, protože právě změna, kterou děláte, ho může zavřít. Poznamenejte, jak by se obnovila současná odvolání, a ne starší snímek, protože zastaralý seznam tiše znovu přijme přihlašovací údaje, které byly toho rána zrušeny. Číslované imperativní kroky vydrží tlak; próza se mění ve výklad.

Tu cestu zpět si vyzkoušejte dřív, než ji budete potřebovat, kdykoli je změna dost velká na to, aby záležela. Vrácení psané z paměti je odhad s datem.

Přihlašovací údaje bydlí jinde

Odkazujte na správce hesel, trezor nebo zapečetěnou obálku a řekněte, kdo ji smí otevřít, místo abyste v souboru citovali jakýkoli materiál. Soukromé klíče, jednorázové kódy pro obnovu a profily, které vkládají tajemství, patří do chráněného úložiště a stránka by měla vysvětlit, jak se k nim oprávněný správce ve 02:00 dostane. Nikdy nepoužívejte živé tajemství jako příklad, protože příklady se vkládají do tiketů a chatových vláken. Odkaz plus seznam oprávnění je vše, co dokument potřebuje.

Projděte soubor po skutečné změně nebo cvičení obnovy, smažte cesty, které už neexistují, a poznamenejte, čí práce je další rozhodnutí o údržbě. Na konci veďte třísloupcový deník změn: datum, co se změnilo, kdo to ověřil. Právě tahle stránka říká dalšímu čtenáři, jestli je zbytek aktuální, a dokumentace k systemctl od systemd je lepší odkaz než parafráze servisních příkazů, které se časem rozejdou.