Pēc iestatīšanas skripta kādam jābūt VPN servera īpašniekam

Divi dažādi darbi tiek pārdoti kā viens: mašīnas pārvēršana VPN serverī un VPN klienta pievienošana klēpjdatoram, kam jāpievienojas kāda cita vārtejai. Iestatīšanas skripts atbild uz pirmo un nevar atbildēt uz otro, lai ko tā README arī norādītu. Ņemiet projekts setup-ipsec-vpn kā konkrētu piemēru: tas būvē IPsec/L2TP, Cisco IPsec vai IKEv2 serveri atbalstītā Linux resursdatorā, izmantojot Libreswan un xl2tpd. Tas ir servera izvietošanas līgums, nevis vispārīga recepte jebkurai mašīnai. Izlemiet, kāds darbs jums ir, pirms skripts tiek palaists, jo viss pēc tam ir par serveri.

Esiet godīgi par resursdatoru

Mašīna, kas arī beidz ko citu, vai kuras ugunsmūris tiek pārvaldīts no mākoņa vadības plaknes, nevis operētājsistēmas, ir cita instalācija nekā tīra virtuālā mašīna. Pierakstiet iespējoto protokolu un izmantoto laidienu, pēc tam pārbaudiet abus pret projekta atbalstīto sarakstu, nevis pret pagājušā gada bloga ierakstu.

Pakalpojuma iespējošana neatver ceļu uz to. IPsec gadījumā tīklam resursdatora priekšā jāļauj UDP 500 un 4500 un, atkarībā no izvietojuma, arī pats ESP protokols. Skripts, kas veiksmīgi beidzas aiz drošības grupas, kura izmet 50. protokolu, ir radījis serveri, kuru neviens nevar sasniegt, un nekas instalētāja izvadē to nepateiks.

Ko instalētājs patiešām pārņem

Gaidiet IPsec konfigurācijas un noslēpumu failu, L2TP dēmona konfigurāciju, PPP opcijas un systemd vienības, kas tagad pārvalda šos portus. Projekta README norāda, ka esošie konfigurācijas faili pirms izmaiņām tiek dublēti, kas ir noderīgi un nav tas pats, kas resursdatora dublējums. Izlemiet, kurus komponentus atjauninās distribūcijas pakotnes un kurus – skripta atkārtota palaišana vai pārrakstīšana, jo tie ir divi uzturēšanas ceļi ar atšķirīgiem atteices režīmiem.

Piespraudiet apstiprināto revīziju. Lejupielādes URL, kas apkalpo pašreizējo noklusējuma zaru, nākamajā mēnesī var atgriezt citu saturu, tāpēc pierakstiet palaisto commit vai laidienu un saglabājiet tā kopiju. Šis viens paradums pārvērš nepiedēvējamu stāvokli kaut kā tādā, par ko otra persona var domāt divos naktī.

Ko skripts nevar jums dot

Automatizācija rada strādājošu instalāciju un tur apstājas. Tā neizlemj, kurus privātos resursus tunelim jāsasniedz, un tas ir piekļuves politikas jautājums, par ko viedoklis ir gan resursdatora ugunsmūrim, gan tīklam virs tā. Tā neizlemj, kas saņem akreditācijas datus, kā tie tiek piegādāti un kā cilvēkam aizejot viņa piekļuve tiek noņemta. Un tā neizlemj kā mašīna tiek atjaunota pēc slikta atjauninājuma, un tā ir daļa, kas parasti tiek atklāta vissliktākajā brīdī.

Klientu profili un parādītie noslēpumi ir piekļuves materiāls, nevis instalācijas žurnāli. Koplietotā kanālā ielīmēts ģenerēts profils ir konts, un tas pats standarts attiecas uz iestatīšanas kopsavilkuma ekrānuzņēmumiem. Uzturiet aizsargātu identitātes stāvokļa sarakstu, kas nepieciešams pakalpojuma atjaunošanai, un atzīmējiet, kuri no šiem akreditācijas datiem kopš tā laika ir atsaukti.

Pirmais klients ir pieņemšanas tests

Pieņemiet izvietojumu no viena pilnvarota klienta, izmantojot protokolu, kuru patiešām iespējojāt. Pārbaudiet, vai privātais nosaukums tiek atrisināts, vai atgriešanās ceļš darbojas, vai atkārtota savienošana uzvedas pareizi un vai galamērķis ārpus atļautās kopas tiek noraidīts. Veiksmīga pieteikšanās no citas klienta programmas nav pierādījums par to, ko nosūtījāt.

Ja vēlamā kombinācija vairs netiek atbalstīta, pirms instalācijas izvēlieties uzturētu ceļu. Vecā laidiena atdzīvināšana, autentifikācijas vājināšana vai neizskaidrota skripta atkārtota palaišana ir atlikšana, nevis uzturēšanas plāni, un katrs no tiem apgrūtina nodošanu.

Uzrakstiet nodošanas lapu

Turiet to īsu: serveris, to būvējusī revīzija, nepieciešamie porti, komponenti un to atjaunināšanas īpašnieki, atļautie resursi, akreditācijas datu ceļš un atjaunošanas procedūra. Pievienojiet konsoles vai ārpus joslas ceļu, ko izmantosit, kad tieši tuneļa izmaiņas salauza piekļuvi. Tad nākamā persona manto pakalpojumu, nevis komandu, no kuras baidās to palaist divreiz.

Pārskatiet šo lapu, kad mainās resursdators, un ne tikai tad, kad kaut kas salūzt. Nodošanas dokuments, ko nekad nelasa, ir dokuments, kas klusi pārstāja būt patiess.