Nom Setup-Skript muss een de Besëtz vum VPN-Server hunn

Zwee verschidde Aarbechte ginn als eng verkaaft: eng Maschinn an e VPN-Server ëmwandelen, an e VPN-Client op e Laptop bäisetzen, deen an en anere seng Paart soll goen. En Setup-Skript äntwert op déi éischt a kann net op déi zweet äntwerten, wat seng README och ëmmer suggeréiert. Huelt de Projet setup-ipsec-vpn als konkreet Beispill: et baut en IPsec/L2TP, Cisco IPsec oder IKEv2 Server op engem ënnerstützte Linux-Host mat Libreswan an xl2tpd. Dat ass en Deployementskontrakt fir e Server, net e generellt Rezept fir all Maschinn. Entscheet wéi eng Aarbecht Dir hutt éier de Skript leeft, well alles duerno geet et ëm de Server.

Sidd éierlech iwwer den Host

Eng Maschinn déi och nach eppes anescht terminéiert, oder där hir Firewall vun enger Cloud-Kontrollfläch amplaz vum Betribssystem geréiert gëtt, ass eng aner Installatioun wéi eng propper virtuell Maschinn. Schreift de Protokoll op, deen Dir aschalt, an d’Editioun, déi Dir benotzt, a kontrolléiert béid géint d’Ënnerstëtzungslëscht vum Projet, net géint e Blogpost vum leschte Joer.

De Service aschalte mécht net de Wee dohi op. Fir IPsec muss d’Netzwier virum Host UDP 500 an 4500 erlaben an, jee no Deployment, de Protokoll ESP selwer. En Skript, dat hannert enger Sécherheetsgrupp déi de Protokoll 50 verwëft, erfollegräich ophält, huet en Server erstallt, deen keen erreecht, an näischt an der Ausgab vum Installateur wäert dat soen.

Wat den Installateur wierklech iwwerhëlt

Erwaart eng IPsec-Konfiguratiouns- a Geheimnisfichier, eng L2TP-Daemon-Konfiguratioun, PPP-Optiounen a systemd-Eenheeten, déi elo dës Porte besëtzen. D’README vum Projet seet, datt existent Konfiguratiounsfichieren virun Ännerunge geséchert ginn, wat nëtzlech ass an net datselwecht ass wéi eng Sécherung vum Host. Entscheet, wéi eng Komponenten duerch d’Päck vun der Verdeelung an wéi eng duerch Nei-Ausféieren oder Iwwerschreiwe vum Skript aktualiséiert ginn, well dat zwee Ënnerhaltsweeër mat verschiddene Fehlermodusen sinn.

Pinn d’Revisioun un, déi Dir guttgeheescht hutt. Eng Download-URL déi de momentegen Standardzweig zerwéiert, kann de nächste Mount aneren Inhalt zréckginn, also notéiert de Commit oder d’Editioun déi Dir ausgefouert hutt a behält eng Kopie. Dee eenzege Brauch mécht aus enger net zouzebarénner Situatioun eppes, iwwer dat eng zweet Persoun um zwou Auer moies nogedenke kann.

Wat de Skript Iech net ka ginn

Automatiséierung produzéiert eng funktionell Installatioun a stoppt do. Et entscheet net, wéi eng privat Ressourcen den Tunnel erreeche soll, wat eng Fro vun der Zougrëffspolitik ass, zu där d’Firewall vum Host an d’Netzwier driwwer allebéid eng Meenung hunn. Et entscheet net, wien Umeldungen kritt, wéi se geliwwert ginn, oder wéi ee sengen Zougrëff ewechgeholl gëtt wann een fortgeet. An et entscheet net wéi d’Maschinn restauréiert gëtt no engem schlechten Update, wat deen Deel ass, deen normalerweis am schlëmmste Moment entdeckt gëtt.

Clientprofiler an déi ugewisen Geheimnisser sinn Zougrëffsmaterial, net Installatiounsloggen. E generéierte Profil deen an en gedeelte Kanal agebonnen gëtt ass e Kont, an dee selwechte Standard gëllt fir Screenshote vun der Setup-Zesummefaassung. Halt eng geschützt Inventaire vum Identitéitszoustand deen néideg ass fir de Service ze restauréieren, a notéiert wéi eng vun dësen Umeldungen zënterhier zréckgezunn goufen.

Den éischte Client ass den Ofnahmetest

Acceptéiert d’Deployement vun engem autoriséierte Client, mat deem Protokoll deen Dir wierklech ageschalt hutt. Kontrolléiert datt den private Numm sech opléist, de Réckwee funktionéiert, eng Neiverbindung sech richteg behëlt, an datt en Zil baussent dem erlaabte Set ofgeleent gëtt. Eng erfollegräich Umeldung vun enger anerer Client-Applikatioun ass kee Beweis fir déi, déi Dir geliwwert hutt.

Wann d’Kombinatioun déi Dir wëllt net méi ënnerstëtzt gëtt, wielt virun der Installatioun en ënnerhalenen Wee. Eng al Editioun nei opzebezelen, d’Authentifikatioun ze schwächen oder en onerkläerte Skript nach eng Kéier auszeféieren sinn Verschiebungen, net Ënnerhaltspläng, an all eenzel mécht d’Iwwergabe schwéier.

Schreift d’Iwwergabesäit

Halt se kuerz: de Server, d’Revisioun déi en gebaut huet, d’Porte déi en brauch, d’Komponenten an hir Update-Besëtzer, déi erlaabte Ressourcen, den Umeldungswee an d’Restauratiounsprozedur. Setzt de Konsol- oder Out-of-Band-Wee derbäi, deen Dir benotzt wann eng Ännerung um Tunnel den Zougrëff gebrach huet. Dann ierft déi nächst Persoun e Service amplaz vun engem Kommando, deen se fäert zweemol auszeféieren.

Revéiert déi Säit wann den Host sech ännert, an net nëmme wann eppes briechen. En Iwwergabedokument dat ni gelies gëtt ass en Dokument dat stëll opgehalen huet richteg ze sinn.