Po sąrankos scenarijaus kažkas turi būti VPN serverio savininkas

Dvi skirtingos užduotys parduodamos kaip viena: paversti mašiną VPN serveriu ir pridėti VPN klientą prie nešiojamojo kompiuterio, kuris turi prisijungti prie kito žmogaus vartų. Sąrankos scenarijus atsako į pirmąją ir negali atsakyti į antrąją, kad ir ką jo README leistų suprasti. Paimkite projektas setup-ipsec-vpn kaip konkretų pavyzdį: jis stato IPsec/L2TP, Cisco IPsec arba IKEv2 serverį palaikomame Linux hoste naudodamas Libreswan ir xl2tpd. Tai serverio diegimo sutartis, o ne bendras receptas bet kuriai mašinai. Nuspręskite, kokia užduotis jūsų, prieš paleidžiant scenarijų, nes viskas, kas toliau, yra apie serverį.

Būkite sąžiningi dėl hosto

Mašina, kuri taip pat užbaigia ką nors kita, arba kurios ugniasienė valdoma debesų valdymo plokštumos, o ne operacinės sistemos, yra kitokia instaliacija nei švari virtuali mašina. Užrašykite įjungiamą protokolą ir naudojamą leidimą, tada patikrinkite abu pagal projekto palaikomų sąrašą, o ne pagal praėjusių metų tinklaraščio įrašą.

Paslaugos įjungimas neatveria kelio į ją. IPsec atveju tinklas prieš hostą turi praleisti UDP 500 ir 4500 ir, priklausomai nuo diegimo, patį ESP protokolą. Scenarijus, kuris sėkmingai baigiasi už saugos grupės, kuri meta 50 protokolą, sukūrė serverį, kurio niekas nepasieks, ir niekas įdiegėjo išvestyje to nepasakys.

Ką diegėjas iš tikrųjų perima

Tikėkitės IPsec konfigūracijos ir slaptųjų raktų failo, L2TP demono konfigūracijos, PPP parinkčių ir systemd vienetų, kurie dabar valdo tuos portus. Projekto README nurodo, kad esami konfigūracijos failai prieš pakeitimus kopijuojami, kas naudinga ir nėra tas pats kaip hosto atsarginė kopija. Nuspręskite, kuriuos komponentus atnaujins distribucijos paketai, o kuriuos – pakartotinis scenarijaus paleidimas ar perrašymas, nes tai du priežiūros keliai su skirtingais gedimo režimais.

Užfiksuokite patvirtintą versiją. Atsisiuntimo URL, kuris tiekia dabartinę numatytąją šaką, kitą mėnesį gali grąžinti kitą turinį, todėl užrašykite paleistą commit arba leidimą ir pasilikite jo kopiją. Šis vienas įprotis paverčia nepriskiriamą būseną kažkuo, apie ką antras žmogus gali mąstyti antrą valandą nakties.

Ko scenarijus negali duoti

Automatizavimas sukuria veikiančią instaliaciją ir ten sustoja. Jis nenusprendžia, kokius privačius išteklius tunelis turi pasiekti, o tai prieigos politikos klausimas, dėl kurio nuomonę turi ir hosto ugniasienė, ir aukštesnis tinklas. Jis nenusprendžia, kas gauna prisijungimo duomenis, kaip jie perduodami ir kaip žmogui išėjus jo prieiga pašalinama. Ir jis nenusprendžia kaip mašina atkuriama po blogo atnaujinimo, o tai dalis, kuri paprastai atrandama blogiausiu momentu.

Klientų profiliai ir rodomi slaptieji duomenys yra prieigos medžiaga, o ne diegimo žurnalai. Į bendrą kanalą įklijuotas sugeneruotas profilis yra paskyra, ir tas pats standartas galioja sąrankos suvestinės ekrano kopijoms. Tvarkykite apsaugotą identiteto būsenos, reikalingos paslaugai atkurti, sąrašą ir pažymėkite, kurie iš tų prisijungimo duomenų nuo to laiko buvo atšaukti.

Pirmasis klientas yra priėmimo testas

Priimkite diegimą iš vieno įgalioto kliento, naudodami protokolą, kurį iš tikrųjų įjungėte. Patikrinkite, ar privatus vardas išsprendžiamas, ar grįžtamasis kelias veikia, ar prisijungimas iš naujo elgiasi tinkamai ir ar tikslas už leidžiamos aibės atmetamas. Sėkmingas prisijungimas iš kitos kliento programos nėra įrodymas apie tą, kurią išsiuntėte.

Jei norimas derinys nebepalaikomas, prieš diegimą pasirinkite prižiūrimą kelią. Seno leidimo atgaivinimas, autentifikavimo silpninimas ar nepaaiškinto scenarijaus pakartotinis paleidimas yra atidėjimai, o ne priežiūros planai, ir kiekvienas jų apsunkina perdavimą.

Parašykite perdavimo puslapį

Laikykite jį trumpą: serveris, jį pastačiusi versija, reikalingi portai, komponentai ir jų atnaujinimo savininkai, leidžiami ištekliai, prisijungimo duomenų kelias ir atkūrimo procedūra. Pridėkite konsolės ar už juostos ribų kelią, kurį naudosite, kai būtent tunelio pakeitimas sulaužė prieigą. Tada kitas žmogus paveldi paslaugą, o ne komandą, kurios bijo paleisti du kartus.

Peržiūrėkite tą puslapį, kai keičiasi hostas, o ne tik tada, kai kažkas sugenda. Perdavimo dokumentas, kurio niekada neskaito, yra dokumentas, kuris tyliai nustojo būti teisingas.