Μετά το σκριπτ εγκατάστασης, κάποιος πρέπει να έχει την ευθύνη του διακομιστή VPN

Δύο διαφορετικές δουλειές πωλούνται ως μία: το να μετατρέψεις ένα μηχάνημα σε διακομιστή VPN και το να προσθέσεις έναν πελάτη VPN σε φορητό υπολογιστή που πρέπει να συνδεθεί στην πύλη κάποιου άλλου. Ένα σκριπτ εγκατάστασης απαντά στην πρώτη και δεν μπορεί να απαντήσει στη δεύτερη, ό,τι κι αν υπονοεί το README του. Πάρτε το το έργο setup-ipsec-vpn ως συγκεκριμένο παράδειγμα: χτίζει διακομιστή IPsec/L2TP, Cisco IPsec ή IKEv2 σε υποστηριζόμενο Linux με Libreswan και xl2tpd. Αυτό είναι συμβόλαιο ανάπτυξης για διακομιστή, όχι γενική συνταγή για οποιοδήποτε μηχάνημα. Αποφασίστε ποια δουλειά έχετε πριν τρέξει το σκριπτ, γιατί όλα μετά αφορούν τον διακομιστή.

Να είστε ειλικρινείς για τον ξενιστή

Ένα μηχάνημα που τερματίζει και κάτι άλλο, ή του οποίου το τείχος προστασίας διαχειρίζεται επίπεδο ελέγχου cloud αντί για το λειτουργικό σύστημα, είναι διαφορετική εγκατάσταση από ένα καθαρό εικονικό μηχάνημα. Γράψτε το πρωτόκολλο που ενεργοποιείτε και την έκδοση που χρησιμοποιείτε, και ελέγξτε και τα δύο στη λίστα υποστήριξης του έργου, όχι σε ανάρτηση ιστολογίου του περασμένου έτους.

Η ενεργοποίηση της υπηρεσίας δεν ανοίγει τον δρόμο προς αυτήν. Για το IPsec το δίκτυο μπροστά από τον ξενιστή πρέπει να επιτρέπει UDP 500 και 4500 και, ανάλογα με την ανάπτυξη, το ίδιο το πρωτόκολλο ESP. Ένα σκριπτ που ολοκληρώνεται με επιτυχία πίσω από ομάδα ασφαλείας που απορρίπτει το πρωτόκολλο 50 έχει παράγει διακομιστή που κανείς δεν φτάνει, και τίποτα στην έξοδο του εγκαταστάτη δεν θα το πει.

Τι αναλαμβάνει πραγματικά ο εγκαταστάτης

Περιμένετε αρχείο διαμόρφωσης και μυστικών IPsec, διαμόρφωση δαίμονα L2TP, επιλογές PPP και μονάδες systemd που πλέον κατέχουν αυτές τις θύρες. Το README του έργου αναφέρει ότι τα υπάρχοντα αρχεία διαμόρφωσης αντιγράφονται πριν από αλλαγές, κάτι χρήσιμο και όχι το ίδιο με αντίγραφο ασφαλείας του ξενιστή. Αποφασίστε ποια στοιχεία θα ενημερώνονται από τα πακέτα της διανομής και ποια με επανεκτέλεση ή επανεγγραφή του σκριπτ, γιατί είναι δύο διαδρομές συντήρησης με διαφορετικούς τρόπους αποτυχίας.

Καρφιτσώστε την αναθεώρηση που εγκρίνατε. Ένα URL λήψης που σερβίρει τον τρέχοντα προεπιλεγμένο κλάδο μπορεί τον επόμενο μήνα να επιστρέψει άλλο περιεχόμενο, οπότε καταγράψτε το commit ή την έκδοση που εκτελέσατε και κρατήστε αντίγραφο. Αυτή η μία συνήθεια μετατρέπει μια κατάσταση που δεν αποδίδεται σε κάτι για το οποίο ένα δεύτερο άτομο μπορεί να σκεφτεί στις δύο τα ξημερώματα.

Τι δεν μπορεί να σας δώσει το σκριπτ

Ο αυτοματισμός παράγει μια λειτουργική εγκατάσταση και σταματά εκεί. Δεν αποφασίζει ποιους ιδιωτικούς πόρους πρέπει να φτάνει το τούνελ, που είναι ζήτημα πολιτικής πρόσβασης για το οποίο έχουν γνώμη και το τείχος του ξενιστή και το δίκτυο από πάνω. Δεν αποφασίζει ποιος λαμβάνει διαπιστευτήρια, πώς παραδίδονται ή πώς αφαιρείται η πρόσβαση κάποιου όταν φεύγει. Και δεν αποφασίζει πώς ανακτάται το μηχάνημα μετά από κακή ενημέρωση, που είναι το μέρος που συνήθως ανακαλύπτεται στην χειρότερη στιγμή.

Τα προφίλ πελάτη και τα μυστικά που εμφανίζονται είναι υλικό πρόσβασης, όχι αρχεία καταγραφής εγκατάστασης. Ένα παραγόμενο προφίλ που επικολλάται σε κοινό κανάλι είναι λογαριασμός, και το ίδιο κριτήριο ισχύει για στιγμιότυπα της σύνοψης εγκατάστασης. Τηρείτε προστατευμένη απογραφή της κατάστασης ταυτότητας που χρειάζεται για την αποκατάσταση της υπηρεσίας και σημειώστε ποια από αυτά τα διαπιστευτήρια έχουν ανακληθεί έκτοτε.

Ο πρώτος πελάτης είναι η δοκιμή αποδοχής

Αποδεχτείτε την ανάπτυξη από έναν εξουσιοδοτημένο πελάτη, με το πρωτόκολλο που πράγματι ενεργοποιήσατε. Ελέγξτε ότι το ιδιωτικό όνομα επιλύεται, ότι η διαδρομή επιστροφής λειτουργεί, ότι μια επανασύνδεση συμπεριφέρεται σωστά και ότι προορισμός εκτός του επιτρεπόμενου συνόλου απορρίπτεται. Μια επιτυχής σύνδεση από άλλη εφαρμογή πελάτη δεν είναι απόδειξη για αυτήν που παραδώσατε.

Αν ο συνδυασμός που θέλετε δεν υποστηρίζεται πλέον, επιλέξτε συντηρούμενη διαδρομή πριν την εγκατάσταση. Η αναβίωση παλιάς έκδοσης, η αποδυνάμωση ελέγχου ταυτότητας ή η επανεκτέλεση ανεξήγητου σκριπτ είναι αναβολές, όχι σχέδια συντήρησης, και καθεμία δυσκολεύει την παράδοση.

Γράψτε τη σελίδα παράδοσης

Κρατήστε τη σύντομη: τον διακομιστή, την αναθεώρηση που τον έφτιαξε, τις θύρες που χρειάζεται, τα στοιχεία και τους υπεύθυνους ενημέρωσής τους, τους επιτρεπόμενους πόρους, τη διαδρομή των διαπιστευτηρίων και τη διαδικασία αποκατάστασης. Προσθέστε τη διαδρομή κονσόλας ή εκτός ζώνης που θα χρησιμοποιήσετε όταν μια αλλαγή στο τούνελ είναι αυτή που έσπασε την πρόσβαση. Τότε το επόμενο άτομο κληρονομεί υπηρεσία και όχι εντολή που φοβάται να τρέξει δύο φορές.

Αναθεωρήστε αυτή τη σελίδα όταν αλλάζει ο ξενιστής, και όχι μόνο όταν κάτι χαλάει. Ένα έγγραφο παράδοσης που δεν διαβάζεται ποτέ είναι ένα έγγραφο που σταμάτησε σιωπηλά να είναι αληθινό.