セットアップスクリプトの後、VPNサーバーの所有者を決めておく

二つの別の仕事が一つとして売られています。機械をVPNサーバーに変える仕事と、他人のゲートウェイに参加すべきノートPCにVPNクライアントを加える仕事です。セットアップスクリプトは前者に答え、後者には答えられません。READMEが何を示唆していても同じです。setup-ipsec-vpnプロジェクトを具体例にしましょう。これは対応するLinuxホスト上でLibreswanとxl2tpdを使い、IPsec/L2TP、Cisco IPsec、またはIKEv2のサーバーを構築します。これはサーバーに対する配備の契約であり、どの機械にも当てはまる一般解ではありません。スクリプトが動く前にどちらの仕事かを決める。その後のすべてはサーバーについてだからです。

ホストについて正直に

別の何かも終端している機械や、ファイアウォールをOSではなくクラウドのコントロールプレーンが管理している機械は、きれいな仮想マシンとは別の設置です。有効にするプロトコルと使うリリースを書き出し、両方をプロジェクトの対応一覧で確認してください。去年のブログ記事ではなく。

サービスを有効にしても、そこへの経路が開くわけではありません。IPsecでは、ホストの前のネットワークがUDP 500と4500を通し、配備によってはESPプロトコル自体も通す必要があります。プロトコル50を落とすセキュリティグループの背後で正常終了したスクリプトは、誰も到達できないサーバーを作っただけであり、インストーラーの出力は何も告げません。

インストーラーが実際に引き受けるもの

IPsecの設定と秘密ファイル、L2TPデーモンの設定、PPPのオプション、そしてこれらのポートを所有するようになったsystemdユニットを想定してください。プロジェクトのREADMEは、既存の設定ファイルを変更前にバックアップすると述べています。これは有用ですが、ホストのバックアップとは同じではありません。どの構成要素をディストリビューションのパッケージで更新し、どれをスクリプトの再実行や書き換えで更新するのかを決めてください。故障の仕方が異なる二つの保守経路だからです。

承認したリビジョンを固定してください。現在の既定ブランチを配信するダウンロードURLは、来月には別の内容を返す可能性があります。実行したコミットやリリースを記録し、そのコピーを保管してください。その一つの習慣が、由来の分からない状態を、第二の人が午前二時に考えられる何かに変えます。

スクリプトが渡せないもの

自動化は動作する設置を作り、そこで止まります。トンネルがどの私的資源に届くべきかは決めません。これはアクセス方針の問いであり、ホストのファイアウォールと上流のネットワークの双方に意見があります。誰が資格情報を受け取り、どう配られ、退職時にどうアクセスが外されるかも決めません。そして不具合のある更新の後にマシンをどう復旧するかも決めません。これは通常、最悪の瞬間に発覚する部分です。

クライアントプロファイルと表示される秘密は、設置のログではなくアクセス用の素材です。共有チャネルに貼られた生成プロファイルはアカウントであり、設定概要のスクリーンショットにも同じ基準が当てはまります。サービス復旧に必要な身元状態の保護された台帳を保ち、その後どの資格情報が失効したかを記録してください。

最初のクライアントが受け入れ試験

実際に有効にしたプロトコルで、許可された一つのクライアントから配備を受け入れてください。私的な名前が解決すること、戻りの経路が機能すること、再接続が正しく振る舞うこと、許可集合の外の宛先が拒否されることを確認します。別のクライアントアプリからのログイン成功は、配布したものの証拠ではありません。

望む組み合わせがもう対応していないなら、インストール前に保守されている経路を選んでください。古いリリースの復活、認証の弱体化、説明のないスクリプトの再実行は先送りであり、保守計画ではありません。どれも引き継ぎを難しくします。

引き継ぎのページを書く

短く保ってください。サーバー、それを構築したリビジョン、必要なポート、構成要素と更新の担当者、許可された資源、資格情報の経路、復旧手順です。トンネルへの変更がアクセスを壊したときに使うコンソールや帯域外の経路も加えます。そうすれば次の人は、二度実行するのを恐れるコマンドではなく、サービスを引き継ぎます。

ホストが変わったときにそのページを見直してください。何かが壊れたときだけではありません。決して読まれない引き継ぎ文書は、静かに正しくなくなった文書です。