Pärast seadistusskripti käivitamist peab kellelgi olema VPN-serveri eest vastutus

Kahte erinevat tööd müüakse ühena: masina muutmine VPN-serveriks ja VPN-kliendi lisamine sülearvutisse, mis peab liituma kellegi teise lüüsiga. Seadistusskript vastab esimesele ega suuda vastata teisele, mida iganes selle README vihjab. Võtke projekt setup-ipsec-vpn konkreetse näitena: see ehitab toetatud Linuxi hostile Libreswani ja xl2tpd abil IPsec/L2TP, Cisco IPsec või IKEv2 serveri. See on serveri juurutamise leping, mitte üldine retsept ükskõik millise masina jaoks. Otsustage, milline töö teil on, enne kui skript käivitub, sest kõik järgnev puudutab serverit.

Olge hosti suhtes aus

Masin, mis lõpetab ka midagi muud, või mille tulemüüri haldab operatsioonisüsteemi asemel pilve juhtpaneel, on teistsugune paigaldus kui puhas virtuaalmasin. Kirjutage üles protokoll, mille lubate, ja väljalase, mida kasutate, ning kontrollige mõlemat projekti toetatud loendi vastu, mitte eelmise aasta blogipostituse vastu.

Teenuse lubamine ei ava teed selle juurde. IPsec puhul peab hosti ees olev võrk lubama UDP 500 ja 4500 ning sõltuvalt juurutusest ka ESP protokolli ennast. Skript, mis lõpeb edukalt turvagrupi taga, mis viskab kõrvale protokolli 50, on loonud serveri, kuhu keegi ei pääse, ja miski paigaldaja väljundis ei ütle seda.

Mida paigaldaja tegelikult üle võtab

Oodake IPsec konfiguratsiooni- ja saladusfaili, L2TP deemonkonfiguratsiooni, PPP valikuid ja systemd üksusi, mis neid porte nüüd omavad. Projekti README märgib, et olemasolevad konfiguratsioonifailid varundatakse enne muudatusi, mis on kasulik ja ei ole sama asi kui hosti varukoopia. Otsustage, milliseid komponente uuendavad distributsiooni paketid ja milliseid skripti uuesti käivitamine või ümberkirjutamine, sest need on kaks hooldusteed erinevate rikkerežiimidega.

Kinnitage redaktsioon, mille heaks kiitsite. Allalaadimis-URL, mis serveerib praegust vaikeharu, võib järgmisel kuul tagastada teistsuguse sisu, seega kirjutage üles commit või väljalase, mille käivitasite, ja hoidke sellest koopiat. See üks harjumus muudab mitteseostatava oleku millekski, mille üle teine inimene saab kell kaks öösel mõelda.

Mida skript teile anda ei saa

Automatiseerimine toodab töötava paigalduse ja peatub seal. See ei otsusta, milliseid privaatseid ressursse tunnel peaks kättesaama, mis on juurdepääsupoliitika küsimus, mille kohta hosti tulemüüril ja ülemisel võrgul on mõlemal oma arvamus. See ei otsusta, kes saab volitusi, kuidas neid edastatakse ega kuidas inimese juurdepääs eemaldatakse, kui ta lahkub. Ja see ei otsusta kuidas masin taastatakse pärast halba uuendust, mis on osa, mis tavaliselt avastatakse halvimal võimalikul hetkel.

Kliendiprofiilid ja kuvatud saladused on juurdepääsumaterjal, mitte paigalduslogid. Jagatud kanalisse kleebitud genereeritud profiil on konto, ja sama standard kehtib seadistuse kokkuvõtte ekraanipiltide kohta. Pidage kaitstud loendit identiteediseisundist, mida on vaja teenuse taastamiseks, ja märkige, millised neist volitustest on vahepeal tühistatud.

Esimene klient on vastuvõtutest

Võtke juurutus vastu ühelt volitatud kliendilt, kasutades protokolli, mille tegelikult lubasite. Kontrollige, et privaatnimi laheneb, et tagasitee töötab, et taasühendus käitub õigesti ja et lubatud hulgast väljapoole jääv sihtkoht lükatakse tagasi. Edukas sisselogimine teisest klientrakendusest ei ole tõend selle kohta, mille te saatsite.

Kui soovitud kombinatsioon ei ole enam toetatud, valige enne paigaldust hooldatud tee. Vana väljalaske taaselustamine, autentimise nõrgendamine või seletamata skripti uuesti käivitamine on edasilükkamised, mitte hooldusplaanid, ja igaüks neist raskendab üleandmist.

Kirjutage üleandmise leht

Hoidke see lühike: server, selle ehitanud redaktsioon, vajalikud pordid, komponendid ja nende uuenduste omanikud, lubatud ressursid, volituste tee ja taastamisprotseduur. Lisage konsoli- või ribaväline tee, mida kasutate siis, kui just tunneli muudatus lõhkus juurdepääsu. Siis pärib järgmine inimene teenuse, mitte käsu, mida ta kardab kaks korda käivitada.

Vaadake see leht üle, kui host muutub, ja mitte ainult siis, kui midagi katki läheb. Üleandmisdokument, mida kunagi ei loeta, on dokument, mis vaikselt lakkas olemast tõene.