Selepas skrip persediaan berjalan, seseorang mesti memiliki pelayan VPN

Dua kerja berbeza dijual sebagai satu: menukar mesin menjadi pelayan VPN, dan menambah klien VPN pada komputer riba yang sepatutnya menyertai pintu masuk orang lain. Skrip persediaan menjawab yang pertama dan tidak dapat menjawab yang kedua, apa pun yang README-nya sarankan. Ambil projek setup-ipsec-vpn sebagai contoh konkrit: ia membina pelayan IPsec/L2TP, Cisco IPsec atau IKEv2 pada hos Linux yang disokong dengan Libreswan dan xl2tpd. Itu kontrak penggunaan untuk pelayan, bukan resipi umum untuk mana-mana mesin. Tentukan kerja mana yang anda ada sebelum skrip berjalan, kerana segala-galanya selepas itu tentang pelayan.

Jujur tentang hos

Mesin yang juga menamatkan sesuatu yang lain, atau yang tembok apinya diurus oleh satah kawalan awan dan bukan sistem pengendalian, ialah pemasangan berbeza daripada mesin maya bersih. Tulis protokol yang anda aktifkan dan keluaran yang anda gunakan, kemudian semak kedua-duanya terhadap senarai sokongan projek, bukan terhadap catatan blog tahun lepas.

Mengaktifkan perkhidmatan tidak membuka laluan kepadanya. Untuk IPsec, rangkaian di hadapan hos mesti membenarkan UDP 500 dan 4500 dan, bergantung pada penggunaan, protokol ESP itu sendiri. Skrip yang selesai dengan jayanya di belakang kumpulan keselamatan yang menggugurkan protokol 50 telah menghasilkan pelayan yang tiada siapa dapat capai, dan tiada apa pun dalam output pemasang akan menyatakannya.

Apa yang sebenarnya diambil alih pemasang

Jangkakan fail konfigurasi dan rahsia IPsec, konfigurasi daemon L2TP, pilihan PPP dan unit systemd yang kini memiliki port tersebut. README projek menyatakan fail konfigurasi sedia ada disandarkan sebelum perubahan, yang berguna dan bukan perkara sama seperti sandaran hos. Tentukan komponen mana yang akan dikemas kini oleh pakej distribusi dan mana yang dengan menjalankan semula atau menulis semula skrip, kerana itu dua laluan penyelenggaraan dengan mod kegagalan berbeza.

Pin semakan yang anda luluskan. URL muat turun yang menyajikan cawangan lalai semasa mungkin memulangkan kandungan berbeza bulan depan, jadi catat commit atau keluaran yang anda jalankan dan simpan salinannya. Satu tabiat itu mengubah keadaan yang tidak dapat dikaitkan menjadi sesuatu yang boleh difikirkan oleh orang kedua pada pukul dua pagi.

Apa yang skrip tidak dapat berikan

Automasi menghasilkan pemasangan yang berfungsi dan berhenti di situ. Ia tidak menentukan sumber peribadi mana yang perlu dicapai oleh terowong, yang merupakan persoalan dasar akses yang kedua-dua tembok api hos dan rangkaian di atasnya mempunyai pendapat. Ia tidak menentukan siapa yang menerima kelayakan, bagaimana ia disampaikan, atau bagaimana akses seseorang dibuang apabila dia pergi. Dan ia tidak menentukan bagaimana mesin dipulihkan selepas kemas kini yang buruk, iaitu bahagian yang biasanya ditemui pada saat paling teruk.

Profil klien dan rahsia yang dipaparkan ialah bahan akses, bukan log pemasangan. Profil yang dijana dan ditampal dalam saluran dikongsi ialah akaun, dan standard yang sama terpakai pada tangkapan skrin ringkasan persediaan. Simpan inventori terlindung bagi keadaan identiti yang diperlukan untuk memulihkan perkhidmatan, dan catat kelayakan mana yang telah dibatalkan sejak itu.

Klien pertama ialah ujian penerimaan

Terima penggunaan daripada satu klien yang dibenarkan, dengan protokol yang benar-benar anda aktifkan. Semak bahawa nama persendirian diselesaikan, laluan balik berfungsi, sambungan semula berkelakuan betul, dan destinasi di luar set yang dibenarkan ditolak. Log masuk berjaya daripada aplikasi klien lain bukan bukti tentang yang anda hantar.

Jika kombinasi yang anda mahu tidak lagi disokong, pilih laluan yang diselenggara sebelum pemasangan. Menghidupkan semula keluaran lama, melemahkan pengesahan atau menjalankan semula skrip yang tidak dijelaskan ialah penangguhan, bukan pelan penyelenggaraan, dan setiap satu menyukarkan penyerahan.

Tulis halaman penyerahan

Jaga ia pendek: pelayan, semakan yang membinanya, port yang diperlukan, komponen dan pemilik kemas kininya, sumber yang dibenarkan, laluan kelayakan dan prosedur pemulihan. Tambah laluan konsol atau di luar jalur yang akan anda gunakan apabila perubahan pada terowong itulah yang memutuskan akses. Kemudian orang seterusnya mewarisi perkhidmatan, bukan arahan yang dia takut jalankan dua kali.

Semak halaman itu apabila hos berubah, dan bukan hanya apabila sesuatu rosak. Dokumen penyerahan yang tidak pernah dibaca ialah dokumen yang diam-diam berhenti menjadi benar.