Asennusskriptin jälkeen VPN-palvelimella täytyy olla omistaja

Kaksi eri työtä myydään yhtenä: koneen muuttaminen VPN-palvelimeksi ja VPN-asiakkaan lisääminen kannettavaan, jonka pitäisi liittyä jonkun toisen yhdyskäytävään. Asennusskripti vastaa ensimmäiseen eikä voi vastata toiseen, mitä sen README sitten vihjaileekin. Ota setup-ipsec-vpn-projekti konkreettiseksi esimerkiksi: se rakentaa IPsec/L2TP-, Cisco IPsec- tai IKEv2-palvelimen tuetulle Linux-isännälle Libreswanin ja xl2tpd:n avulla. Se on palvelimen käyttöönottosopimus, ei yleinen resepti mille tahansa koneelle. Päätä, mikä työ sinulla on, ennen kuin skripti ajetaan, koska kaikki sen jälkeen koskee palvelinta.

Ole rehellinen isännästä

Kone, joka päättää myös jotain muuta, tai jonka palomuuria hallitaan pilven ohjaustasolta käyttöjärjestelmän sijaan, on eri asennus kuin puhdas virtuaalikone. Kirjoita ylös protokolla, jonka otat käyttöön, ja julkaisu, jota käytät, ja tarkista molemmat projektin tukiluettelosta, ei viime vuoden blogikirjoituksesta.

Palvelun käyttöönotto ei avaa tietä siihen. IPsecin osalta isännän edessä olevan verkon on sallittava UDP 500 ja 4500 ja käyttöönotosta riippuen myös ESP-protokolla itse. Skripti, joka päättyy onnistuneesti suojausryhmän takana, joka pudottaa protokollan 50, on tuottanut palvelimen, johon kukaan ei pääse, eikä mikään asentajan tulosteessa kerro sitä.

Mitä asentaja itse asiassa ottaa haltuunsa

Odota IPsec-kokoonpanoa ja salaisuustiedostoa, L2TP-daemonin kokoonpanoa, PPP-asetuksia ja systemd-yksiköitä, jotka nyt omistavat nuo portit. Projektin README kertoo, että olemassa olevat kokoonpanotiedostot varmuuskopioidaan ennen muutoksia, mikä on hyödyllistä eikä ole sama asia kuin isännän varmuuskopio. Päätä, mitkä komponentit päivitetään jakelun paketeilla ja mitkä ajamalla tai kirjoittamalla skripti uudelleen, sillä ne ovat kaksi ylläpitopolkua, joilla on erilaiset vikatilat.

Kiinnitä hyväksymäsi revisio. Lataus-URL, joka tarjoilee nykyistä oletushaaraa, voi palauttaa ensi kuussa eri sisältöä, joten kirjaa ajettu commit tai julkaisu ja pidä siitä kopio. Tämä yksi tapa muuttaa jäljittämättömän tilan sellaiseksi, jota toinen ihminen voi pohtia kahdelta yöllä.

Mitä skripti ei voi antaa sinulle

Automaatio tuottaa toimivan asennuksen ja pysähtyy siihen. Se ei päätä, mitä yksityisiä resursseja tunnelin pitäisi tavoittaa, mikä on käyttöoikeuspolitiikan kysymys, josta sekä isännän palomuurilla että ylemmällä verkolla on mielipide. Se ei päätä, kuka saa tunnistetiedot, miten ne toimitetaan tai miten jonkun pääsy poistetaan hänen lähtiessään. Eikä se päätä miten kone palautetaan huonon päivityksen jälkeen, mikä on se osa, joka yleensä löydetään pahimmalla mahdollisella hetkellä.

Asiakasprofiilit ja näytetyt salaisuudet ovat pääsymateriaalia, eivät asennuslokeja. Jaettuun kanavaan liitetty luotu profiili on tili, ja sama standardi koskee asennuksen yhteenvedon kuvakaappauksia. Pidä suojattua luetteloa palvelun palauttamiseen tarvittavasta identiteettitilasta ja merkitse, mitkä näistä tunnistetiedoista on sittemmin peruutettu.

Ensimmäinen asiakas on hyväksymistesti

Hyväksy käyttöönotto yhdeltä valtuutetulta asiakkaalta käyttäen protokollaa, jonka todella otit käyttöön. Tarkista, että yksityinen nimi ratkeaa, että paluupolku toimii, että uudelleenyhdistäminen käyttäytyy oikein ja että sallitun joukon ulkopuolinen kohde hylätään. Onnistunut kirjautuminen toisesta asiakasohjelmasta ei ole todiste toimittamastasi.

Jos haluamasi yhdistelmä ei ole enää tuettu, valitse ylläpidetty polku ennen asennusta. Vanhan julkaisun elvyttäminen, todennuksen heikentäminen tai selittämättömän skriptin uudelleen ajaminen ovat lykkäyksiä, eivät ylläpitopolkuja, ja jokainen niistä vaikeuttaa luovutusta.

Kirjoita luovutussivu

Pidä se lyhyenä: palvelin, sen rakentanut revisio, tarvittavat portit, komponentit ja niiden päivitysomistajat, sallitut resurssit, tunnistetietojen polku ja palautusmenettely. Lisää konsoli- tai ulkopuolinen reitti, jota käytät, kun juuri tunnelin muutos rikkoi pääsyn. Silloin seuraava henkilö perii palvelun eikä komentoa, jota hän pelkää ajaa kahdesti.

Tarkista tämä sivu, kun isäntä vaihtuu, ei vain silloin, kun jotain hajoaa. Luovutusasiakirja, jota ei koskaan lueta, on asiakirja, joka hiljaa lakkasi olemasta totta.