A telepítőszkript lefutása után valakinek felelnie kell a VPN-kiszolgálóért

Két különböző munkát adnak el egyként: gépet VPN-kiszolgálóvá alakítani, és VPN-ügyfelet tenni arra a laptopra, amelynek valaki más átjárójához kellene csatlakoznia. A telepítőszkript az elsőre válaszol, a másodikra nem tud, bármit is sugall a README-je. Vegyük a a setup-ipsec-vpn projekt konkrét példaként: támogatott Linux gazdagépen Libreswan és xl2tpd segítségével IPsec/L2TP, Cisco IPsec vagy IKEv2 kiszolgálót épít. Ez egy kiszolgálóra szóló telepítési szerződés, nem általános recept bármely géphez. Döntse el, melyik munka az öné, mielőtt a szkript elindul, mert minden, ami utána jön, a kiszolgálóról szól.

Legyen őszinte a gazdagépről

Az a gép, amely másra is végpontot ad, vagy amelynek tűzfalát nem az operációs rendszer, hanem egy felhő vezérlősík kezeli, más telepítés, mint egy tiszta virtuális gép. Írja le az engedélyezett protokollt és a használt kiadást, majd mindkettőt a projekt támogatási listájához mérje, ne egy tavalyi blogbejegyzéshez.

A szolgáltatás engedélyezése nem nyitja meg az utat hozzá. Az IPsec esetében a gazdagép előtti hálózatnak át kell engednie az UDP 500 és 4500 portot, és a telepítéstől függően magát az ESP protokollt. Az a szkript, amely sikeresen lefut egy olyan biztonsági csoport mögött, amely eldobja az 50-es protokollt, olyan kiszolgálót hozott létre, amelyet senki nem ér el, és a telepítő kimenete erről semmit nem mond.

Amit a telepítő valójában átvesz

Számítson IPsec konfigurációs és titokfájlra, L2TP démon konfigurációra, PPP beállításokra és systemd egységekre, amelyek most ezeket a portokat birtokolják. A projekt README-je szerint a meglévő konfigurációs fájlokról a változtatások előtt biztonsági másolat készül, ami hasznos, és nem ugyanaz, mint a gazdagép biztonsági mentése. Döntse el, mely összetevőket frissítik a disztribúció csomagjai, és melyeket a szkript újrafuttatása vagy újraírása, mert ez két karbantartási út eltérő hibaüzemmódokkal.

Rögzítse a jóváhagyott revíziót. Egy letöltési URL, amely az aktuális alapértelmezett ágat szolgálja ki, jövő hónapban más tartalmat adhat, ezért jegyezze fel a futtatott commitot vagy kiadást, és tartson belőle másolatot. Ez az egy szokás a hozzárendelhetetlen állapotot olyasmivé alakítja, amin egy második ember hajnali kettőkor elgondolkodhat.

Amit a szkript nem tud megadni

Az automatizálás működő telepítést hoz létre, és ott megáll. Nem dönti el, mely magánforrásokat érje el az alagút, ami hozzáférési szabályzat kérdése, és erről a gazdagép tűzfala és a felette lévő hálózat is véleményt mond. Nem dönti el, ki kap hitelesítő adatokat, hogyan adják át őket, és hogyan vonják meg valakinek a hozzáférését, amikor távozik. És nem dönti el hogyan állítják helyre a gépet egy rossz frissítés után, ami az a rész, amely általában a legrosszabb pillanatban derül ki.

Az ügyfélprofilok és a megjelenített titkok hozzáférési anyagok, nem telepítési naplók. A megosztott csatornába beillesztett generált profil egy fiók, és ugyanez a mérce vonatkozik a telepítési összefoglaló képernyőképeire. Tartson védett leltárt a szolgáltatás helyreállításához szükséges identitásállapotról, és jegyezze fel, mely hitelesítő adatokat vonták vissza azóta.

Az első ügyfél az átvételi teszt

Egy jogosult ügyféltől fogadja el a telepítést, azzal a protokollal, amelyet ténylegesen engedélyezett. Ellenőrizze, hogy a privát név feloldódik, a visszaút működik, az újracsatlakozás helyesen viselkedik, és az engedélyezett halmazon kívüli cél elutasításra kerül. Egy másik ügyfélalkalmazásból sikeres bejelentkezés nem bizonyíték a leszállított alkalmazásra.

Ha a kívánt kombináció már nem támogatott, a telepítés előtt válasszon karbantartott utat. Egy régi kiadás felélesztése, a hitelesítés gyengítése vagy egy megmagyarázatlan szkript újrafuttatása halasztás, nem karbantartási terv, és mindegyik nehezebbé teszi az átadást.

Írja meg az átadási oldalt

Tartsa rövidnek: a kiszolgáló, az azt építő revízió, a szükséges portok, az összetevők és frissítési felelőseik, az engedélyezett erőforrások, a hitelesítő adatok útja és a helyreállítási eljárás. Adja hozzá a konzol- vagy sávon kívüli útvonalat, amelyet akkor használ, amikor épp az alagút módosítása törte el a hozzáférést. Akkor a következő ember szolgáltatást örököl, nem pedig egy parancsot, amelyet fél kétszer futtatni.

Tekintse át ezt az oldalt, amikor a gazdagép változik, és ne csak akkor, amikor valami elromlik. Az az átadási dokumentum, amelyet soha nem olvasnak, olyan dokumentum, amely csendben megszűnt igaz lenni.