Nei it opsetskript moat immen de VPN-tsjinner besitte

Twa ferskillende taken wurde as ien ferkocht: in masine yn in VPN-tsjinner feroarje, en in VPN-klant tafoegje oan in laptop dy’t by de gateway fan in oar hear moat. In opsetskript beantwurdet de earste en kin de twadde net beantwurdzje, wat syn README ek suggerearret. Nim it projekt setup-ipsec-vpn as konkreet foarbyld: it bout in IPsec/L2TP-, Cisco IPsec- of IKEv2-tsjinner op in stipe Linux-host mei Libreswan en xl2tpd. Dat is in útrullingskontrakt foar in tsjinner, net in algemien resept foar hokker masine dan ek. Bepaal hokker taak jo hawwe foardat it skript rint, want alles d’rnei giet oer de tsjinner.

Wês earlik oer de host

In masine dy’t ek wat oars beëiniget, of waans firewall troch in cloud-kontrôleflak ynstee fan it bestjoeringssysteem beheard wurdt, is in oare ynstallaasje as in skjinne firtuele masine. Skriuw it protokol op dat jo ynskeakelje en de ferzje dy’t jo brûke, en kontrolearje beide tsjin de stipe-list fan it projekt, net tsjin in blogpost fan ferline jier.

It tsjinst ynskeakelje iepenet net de wei dernei. Foar IPsec moat it netwurk foar de host UDP 500 en 4500 talitte en, ôfhinklik fan de útrulling, it ESP-protokol sels. In skript dat mei súkses einiget efter in feiligensgroep dy’t protokol 50 fuortsmyt, hat in tsjinner makke dy’t nimmen berikke kin, en neat yn ’e útfier fan de ynstallearder sil dat sizze.

Wat de ynstallearder echt oernimt

Ferwachtsje in IPsec-konfiguraasje- en geheimenbestân, in L2TP-daemonkonfiguraasje, PPP-opsjes en systemd-ienheden dy’t no dy poarten besitte. De README fan it projekt seit dat besteande konfiguraasjebestannen foar feroarings bewarre wurde, wat nuttich is en net itselde as in host-back-up. Bepaal hokker komponinten troch de pakketten fan de distribúsje bywurke wurde en hokker troch it skript op ’e nij te rinnen of te skriuwen, want dat binne twa ûnderhâldswegen mei ferskillende flatermodi.

Fêstigje de revyzje dy’t jo goedkard hawwe. In download-URL dy’t de hjoeddeiske standerttûke tsjinnet, kin folgjende moanne oare ynhâld weromjaan, dus skriuw de commit of ferzje op dy’t jo rûn hawwe en hâld in kopy. Dy iene gewoante makket fan in net-taskriuwbere steat iets dêr’t in twadde persoan om twa oere nachts oer tinke kin.

Wat it skript jo net jaan kin

Automatisearring produsearret in wurkjende ynstallaasje en hâldt dêr op. It beslút net hokker privee boarnen de tunnel berikke moat, wat in fraach fan tagongbelied is dêr’t de firewall fan de host en it netwurk boppe beide in miening oer hawwe. It beslút net wa’t tagongsbewizen kriget, hoe’t dy levere wurde, of hoe’t immen syn tagong fuorthelle wurdt as er fuortgiet. En it beslút net hoe’t de masine wersteld wurdt nei in minne bywurking, wat it part is dat meastentiids op it minste momint ûntdutsen wurdt.

Klantprofylen en toande geheimen binne tagongsmateriaal, net ynstallaasjelogboeken. In generearre profyl dat yn in dielde kanaal plakt wurdt, is in akkount, en deselde standert jildt foar skermôfbyldings fan de opsetgearhing. Hâld in beskerme ynventaris fan de identiteitssteat dy’t nedich is om de tsjinst te herstellen, en notearje hokker fan dy tagongsbewizen sûntyn tiid weromlutsen binne.

De earste klant is de akseptaasjetest

Akseptearje de útrulling fan ien autorisearre klant, mei it protokol dat jo echt ynskeakele hawwe. Kontrolearje dat de privee namme oplost, dat it weromwei wurket, dat in werferbining him goed hâldt en dat in bestimming bûten de tastiene set wegere wurdt. In slagge oanmelding fan in oare klantapplikaasje is gjin bewiis oer dy’t jo ferstjoerd hawwe.

As de kombinaasje dy’t jo wolle net langer stipe wurdt, kies dan foar de ynstallaasje in ûnderhâlden wei. In âlde ferzje wer oplibje litte, autentikaasje ferswakje of in ûnferklearre skript op ’e nij rinne litte binne útstellen, gjin ûnderhâldsplannen, en elk fan harren makket de oerdracht dreger.

Skriuw de oerdrachtsside

Hâld it koart: de tsjinner, de revyzje dy’t him boud hat, de poarten dy’t er nedich hat, de komponinten en harren bywurkings-eigners, de tastiene boarnen, it paad fan de tagongsbewizen en de herstelproseduere. Foegje de console- of bûtendoar-wei ta dy’t jo brûke sille as in feroaring oan ’e tunnel is wat de tagong bruts. Dan ervet de folgjende persoan in tsjinst ynstee fan in opdracht dêr’t er bang foar is om twa kear te rinnen.

Besjoch dy side as de host feroaret, en net allinnich as der wat stikken giet. In oerdrachtsdokumint dat nea lêzen wurdt, is in dokumint dat stilwei opholden is wier te wêzen.