Setelah skrip penyiapan berjalan, seseorang harus memiliki server VPN

Dua pekerjaan berbeda dijual sebagai satu: mengubah mesin menjadi server VPN, dan menambahkan klien VPN ke laptop yang seharusnya bergabung ke gateway orang lain. Skrip penyiapan menjawab yang pertama dan tidak dapat menjawab yang kedua, apa pun yang disiratkan README-nya. Ambil proyek setup-ipsec-vpn sebagai contoh konkret: skrip ini membangun server IPsec/L2TP, Cisco IPsec, atau IKEv2 pada host Linux yang didukung dengan Libreswan dan xl2tpd. Itu kontrak penerapan untuk server, bukan resep umum untuk mesin apa pun. Putuskan pekerjaan mana yang Anda miliki sebelum skrip berjalan, karena semua sesudahnya tentang server.

Jujur soal host

Mesin yang juga mengakhiri hal lain, atau yang firewall-nya dikelola bidang kendali awan alih-alih sistem operasi, adalah instalasi berbeda dari mesin virtual bersih. Tuliskan protokol yang Anda aktifkan dan rilis yang Anda pakai, lalu periksa keduanya terhadap daftar dukungan proyek, bukan terhadap tulisan blog tahun lalu.

Mengaktifkan layanan tidak membuka jalan ke sana. Untuk IPsec, jaringan di depan host harus mengizinkan UDP 500 dan 4500 dan, tergantung penerapan, protokol ESP itu sendiri. Skrip yang selesai dengan sukses di belakang grup keamanan yang membuang protokol 50 telah menghasilkan server yang tidak dapat dijangkau siapa pun, dan tidak ada apa pun di keluaran pemasang yang akan mengatakan itu.

Apa yang sebenarnya diambil alih pemasang

Harapkan berkas konfigurasi dan rahasia IPsec, konfigurasi daemon L2TP, opsi PPP, dan unit systemd yang kini memiliki port tersebut. README proyek menyatakan berkas konfigurasi yang ada dicadangkan sebelum perubahan, yang berguna dan bukan hal yang sama dengan cadangan host. Putuskan komponen mana yang akan diperbarui oleh paket distribusi dan mana yang dengan menjalankan ulang atau menulis ulang skrip, karena itu dua jalur pemeliharaan dengan mode kegagalan berbeda.

Patok revisi yang Anda setujui. URL unduhan yang menyajikan cabang default saat ini bisa mengembalikan isi berbeda bulan depan, jadi catat commit atau rilis yang Anda jalankan dan simpan salinannya. Satu kebiasaan itu mengubah keadaan yang tak dapat diatribusikan menjadi sesuatu yang dapat dipikirkan orang kedua pada pukul dua pagi.

Apa yang tidak bisa diberikan skrip

Otomasi menghasilkan instalasi yang berfungsi dan berhenti di situ. Ia tidak memutuskan sumber daya privat mana yang harus dijangkau terowongan, yang merupakan pertanyaan kebijakan akses tempat firewall host dan jaringan di atasnya sama-sama punya pendapat. Ia tidak memutuskan siapa yang menerima kredensial, bagaimana kredensial dikirim, atau bagaimana akses seseorang dicabut saat ia pergi. Dan ia tidak memutuskan bagaimana mesin dipulihkan setelah pembaruan buruk, bagian yang biasanya ditemukan pada saat terburuk.

Profil klien dan rahasia yang ditampilkan adalah bahan akses, bukan log instalasi. Profil yang dihasilkan dan ditempel di kanal bersama adalah akun, dan standar yang sama berlaku untuk tangkapan layar ringkasan penyiapan. Simpan inventaris terlindungi atas keadaan identitas yang diperlukan untuk memulihkan layanan, dan catat kredensial mana yang telah dicabut sejak itu.

Klien pertama adalah uji penerimaan

Terima penerapan dari satu klien yang berwenang, dengan protokol yang benar-benar Anda aktifkan. Periksa bahwa nama privat terurai, jalur balik berfungsi, sambung ulang berperilaku benar, dan tujuan di luar himpunan yang diizinkan ditolak. Login berhasil dari aplikasi klien lain bukan bukti tentang yang Anda kirimkan.

Jika kombinasi yang Anda inginkan tidak lagi didukung, pilih jalur yang dipelihara sebelum instalasi. Menghidupkan kembali rilis lama, melemahkan autentikasi, atau menjalankan ulang skrip yang tak dijelaskan adalah penundaan, bukan rencana pemeliharaan, dan masing-masing mempersulit serah terima.

Tulis halaman serah terima

Buat singkat: server, revisi yang membangunnya, port yang dibutuhkan, komponen dan pemilik pembaruannya, sumber daya yang diizinkan, jalur kredensial, dan prosedur pemulihan. Tambahkan jalur konsol atau di luar pita yang akan Anda pakai ketika perubahan pada terowongan itulah yang memutus akses. Maka orang berikutnya mewarisi layanan, bukan perintah yang ia takuti menjalankannya dua kali.

Tinjau halaman itu ketika host berubah, dan bukan hanya ketika sesuatu rusak. Dokumen serah terima yang tak pernah dibaca adalah dokumen yang diam-diam berhenti benar.