Post la agorda skripto iu devas respondeci pri la VPN-servilo

Du malsamaj taskoj estas vendataj kiel unu: igi maŝinon VPN-servilo, kaj aldoni VPN-klienton al tekkomputilo, kiu devas aliĝi al la enirejo de iu alia. Agorda skripto respondas la unuan kaj ne povas respondi la duan, kion ajn ĝia README sugestas. Prenu la projekto setup-ipsec-vpn kiel konkretan ekzemplon: ĝi konstruas IPsec/L2TP, Cisco IPsec aŭ IKEv2-servilon sur subtenata Linukso-gastigo per Libreswan kaj xl2tpd. Tio estas deploja kontrakto por servilo, ne ĝenerala recepto por iu ajn maŝino. Decidu, kiun taskon vi havas, antaŭ ol la skripto ruliĝos, ĉar ĉio poste temas pri la servilo.

Estu honesta pri la gastigo

Maŝino, kiu ankaŭ finas ion alian, aŭ kies fajromuro estas administrata de nuba regpanelaro anstataŭ de la operaciumo, estas alia instalado ol pura virtuala maŝino. Skribu la protokolon, kiun vi ebligas, kaj la eldonon, kiun vi uzas, poste kontrolu ambaŭ kontraŭ la subtena listo de la projekto, ne kontraŭ blogaĵo de la pasinta jaro.

Ebligi la servon ne malfermas la vojon al ĝi. Por IPsec la reto antaŭ la gastigo devas permesi UDP 500 kaj 4500 kaj, laŭ la deplojo, la protokolon ESP mem. Skripto, kiu sukcese finiĝas malantaŭ sekureca grupo, kiu forĵetas protokolon 50, produktis servilon, kiun neniu povas atingi, kaj nenio en la eligo de la instalilo diros tion.

Kion la instalilo efektive transprenas

Atendu IPsec-agordon kaj sekretan dosieron, agordon de la L2TP-demonio, PPP-opciojn kaj systemd-unuojn, kiuj nun posedas tiujn pordojn. La README de la projekto diras, ke ekzistantaj agordaj dosieroj estas savkopiataj antaŭ ŝanĝoj, kio estas utila kaj ne estas la sama afero kiel savkopio de la gastigo. Decidu, kiujn komponentojn ĝisdatigos la pakoj de la distribuo kaj kiujn la rerrulado aŭ reverkado de la skripto, ĉar temas pri du prizorgaj vojoj kun malsamaj fiaskmanieroj.

Fiksu la revizion, kiun vi aprobis. Elŝuta URL, kiu servas la aktualan defaŭltan branĉon, povas redoni alian enhavon venontmonate, do notu la commit aŭ eldonon, kiun vi rulis, kaj konservu kopion. Tiu unu kutimo transformas neatribueblan staton en ion, pri kio dua persono povas racii je la dua matene.

Kion la skripto ne povas doni al vi

Aŭtomatigo produktas funkciantan instaladon kaj haltas tie. Ĝi ne decidas, kiujn privatajn rimedojn la tunelo atingos, kio estas demando pri alirpolitiko, pri kiu la fajromuro de la gastigo kaj la reto supre havas opinion. Ĝi ne decidas, kiu ricevas akreditaĵojn, kiel ili liveriĝas, nek kiel oni forigas ies aliron kiam tiu foriras. Kaj ĝi ne decidas kiel la maŝino restaŭriĝas post malbona ĝisdatigo, kio estas la parto kutime malkovrita en la plej malbona momento.

Klientaj profiloj kaj montritaj sekretoj estas alirmaterialo, ne instaladaj protokoloj. Generita profilo algluita en komunan kanalon estas konto, kaj la sama normo validas por ekrankopioj de la agorda resumo. Tenu protektitan inventaron de la identeca stato necesa por restarigi la servon, kaj notu, kiuj el tiuj akreditaĵoj estis revokitaj de tiam.

La unua kliento estas la akcepta provo

Akceptu la deplojon de unu rajtigita kliento, uzante la protokolon, kiun vi efektive ebligis. Kontrolu, ke la privata nomo solviĝas, ke la revena vojo funkcias, ke rekonekto kondutas ĝuste, kaj ke celloko ekster la permesita aro estas rifuzata. Sukcesa ensaluto de alia klienta aplikaĵo ne estas pruvo pri tiu, kiun vi sendis.

Se la kombinaĵo, kiun vi volas, ne plu estas subtenata, elektu prizorgatan vojon antaŭ la instalado. Revivigi malnovan eldonon, malfortigi aŭtentikigon aŭ reruli neklarigitan skripton estas prokrastoj, ne prizorgaj planoj, kaj ĉiu el ili malfaciligas la transdonon.

Skribu la transdonan paĝon

Tenu ĝin mallonga: la servilo, la revizio, kiu konstruis ĝin, la pordoj necesaj, la komponentoj kaj iliaj ĝisdatigposedantoj, la permesitaj rimedoj, la vojo de la akreditaĵoj kaj la restaŭra proceduro. Aldonu la konzolan aŭ eksterkanalan vojon, kiun vi uzos, kiam ŝanĝo en la tunelo estas tio, kio rompis la aliron. Tiam la sekva persono heredas servon anstataŭ komandon, kiun ĝi timas ruli dufoje.

Revizuu tiun paĝon kiam la gastigo ŝanĝiĝas, kaj ne nur kiam io rompiĝas. Transdona dokumento, kiu neniam estas legata, estas dokumento, kiu silente ĉesis esti vera.