Суулгах скрипт ажилласны дараа VPN серверийн эзэн байх ёстой

Хоёр өөр ажлыг нэг мэт зардаг: машиныг VPN сервер болгох, өөр хүний гарц руу орох ёстой зөөврийн компьютерт VPN клиент нэмэх. Суулгах скрипт эхнийхэд хариулдаг бөгөөд хоёр дахьд хариулж чадахгүй, README нь юу гэсэн ч хамаагүй. setup-ipsec-vpn төсөл-г тодорхой жишээ болгон авч үзье: энэ нь дэмжигдсэн Linux хост дээр Libreswan ба xl2tpd ашиглан IPsec/L2TP, Cisco IPsec эсвэл IKEv2 сервер барьдаг. Энэ нь серверийн байршуулалтын гэрээ, ямар ч машинд тохирох ерөнхий жор биш. Скрипт ажиллахаас өмнө ямар ажил таных болохыг шийд, учир нь дараах бүхэн серверийн тухай.

Хостын тухай шударга бай

Өөр зүйлийг ч дуусгадаг машин, эсвэл галт ханыг үйлдлийн системийн оронд үүлэн удирдлагын хавтгай удирддаг машин нь цэвэр виртуал машинаас өөр суулгалт юм. Асаах протокол, ашиглаж буй хувилбараа бичээд, хоёуланг нь төслийн дэмжлэгийн жагсаалттай тулгаж шалга, өнгөрсөн жилийн блогтой биш.

Үйлчилгээг асаах нь түүн рүү очих замыг нээхгүй. IPsec-ийн хувьд хостны өмнөх сүлжээ UDP 500 ба 4500-г нэвтрүүлэх ёстой бөгөөд байршуулалтаас хамааран ESP протоколыг ч нэвтрүүлнэ. 50 протоколыг хаядаг аюулгүй байдлын бүлгийн ард амжилттай дууссан скрипт хэнд ч хүрэхгүй сервер бүтээсэн бөгөөд суулгагчийн гаралтад юу ч үүнийг хэлэхгүй.

Суулгагч үнэхээр юу хүлээж авах вэ

IPsec-ийн тохиргоо ба нууц файл, L2TP демоны тохиргоо, PPP сонголт, одоо тэдгээр портыг эзэмшиж буй systemd нэгжүүдийг хүлээ. Төслийн README нь одоо байгаа тохиргооны файлуудыг өөрчлөлтийн өмнө нөөцөлдөг гэж бичсэн нь ашигтай бөгөөд хостны нөөцтэй ижил зүйл биш. Аль бүрэлдэхүүнийг түгээлтийн багцууд, алийг нь скриптийг дахин ажиллуулах эсвэл дахин бичих замаар шинэчлэхийг шийд, учир нь эдгээр нь өөр өөр алдааны горимтой хоёр засвар үйлчилгээний зам.

Зөвшөөрсөн хувилбараа тогтоо. Одоогийн үндсэн салбарыг үйлчилдэг татах URL дараа сард өөр агуулга буцааж болзошгүй тул ажиллуулсан commit эсвэл хувилбарыг бичээд хуулбарыг нь хадгал. Тэр нэг дадал нь тайлбарлах боломжгүй төлөвийг хоёр дахь хүн шөнийн хоёр цагт бодож болох зүйл болгоно.

Скрипт танд юу өгч чадахгүй вэ

Автоматжуулалт ажилладаг суулгалт бүтээгээд тэнд зогсдог. Энэ нь туннель ямар хувийн нөөцөд хүрэх ёстойг шийдэхгүй бөгөөд энэ нь хандалтын бодлогын асуудал бөгөөд хостны галт хана, дээд сүлжээ хоёулаа саналтай. Хэн гэрчилгээ авдаг, хэрхэн хүргэгддэг, хүн явахад түүний хандалт хэрхэн хасагдахыг ч шийдэхгүй. Муу шинэчлэлтийн дараа машиныг хэрхэн сэргээдэг-г ч шийдэхгүй, энэ нь ихэвчлэн хамгийн муу мөчид илэрдэг хэсэг.

Клиентийн профайл ба харуулсан нууцууд нь хандалтын материал, суулгалтын бүртгэл биш. Хуваалцсан сувагт наасан үүсгэсэн профайл нь бүртгэл бөгөөд ижил стандарт тохиргооны хураангуйн дэлгэцийн зурагт ч хамаарна. Үйлчилгээг сэргээхэд шаардлагатай таних тэмдгийн төлөвийн хамгаалагдсан бүртгэлийг хөтөлж, тэдгээр гэрчилгээний аль нь хойш цуцлагдсаныг тэмдэглэ.

Эхний клиент бол хүлээн авах туршилт

Байршуулалтыг нэг эрх бүхий клиентээс, үнэхээр асаасан протоколоор хүлээн ав. Хувийн нэр шийдэгдэж байгаа, буцах зам ажиллаж байгаа, дахин холбогдолт зөв ажиллаж байгаа, зөвшөөрөгдсөн олонлогоос гадуурх очих газар татгалзагдаж байгаа эсэхийг шалга. Өөр клиент програмаас амжилттай нэвтэрсэн нь илгээсэн програмын чинь нотолгоо биш.

Хэрэв хүссэн хослолыг дэмжихээ больсон бол суулгахын өмнө засвар үйлчилгээтэй замыг сонго. Хуучин хувилбарыг сэргээх, баталгаажуулалтыг сулруулах, эсвэл тайлбарлаагүй скриптийг дахин ажиллуулах нь засвар үйлчилгээний төлөвлөгөө биш хойшлуулалт бөгөөд тус бүр нь шилжүүлгийг хүндрүүлдэг.

Шилжүүлгийн хуудсыг бич

Үүнийг богино байлга: сервер, түүнийг бүтээсэн хувилбар, шаардлагатай портууд, бүрэлдэхүүн ба тэдгээрийн шинэчлэлтийн эзэд, зөвшөөрөгдсөн нөөц, гэрчилгээний зам, сэргээх журам. Туннелийн өөрчлөлт хандалтыг эвдсэн үед ашиглах консол эсвэл зурвасаас гадуурх замыг нэм. Тэгвэл дараагийн хүн хоёр удаа ажиллуулахаас айдаг тушаал биш, үйлчилгээг өвлөнө.

Хост өөрчлөгдөх үед тэр хуудсыг хяна, зөвхөн ямар нэг зүйл эвдэрсэн үед биш. Хэзээ ч уншигддаггүй шилжүүлгийн баримт бичиг бол чимээгүйхэн үнэн байхаа больсон баримт бичиг юм.