După scriptul de instalare, cineva trebuie să dețină serverul VPN

Două lucrări diferite sunt vândute ca una: transformarea unei mașini într-un server VPN și adăugarea unui client VPN pe un laptop care trebuie să se alăture porții altcuiva. Scriptul de instalare răspunde primeia și nu poate răspunde celei de-a doua, orice ar sugera README-ul său. Luați proiectul setup-ipsec-vpn ca exemplu concret: construiește un server IPsec/L2TP, Cisco IPsec sau IKEv2 pe o gazdă Linux acceptată, cu Libreswan și xl2tpd. Acesta este un contract de implementare pentru un server, nu o rețetă generală pentru orice mașină. Decideți ce lucrare aveți înainte de a rula scriptul, pentru că tot ce urmează privește serverul.

Fiți sincer despre gazdă

O mașină care termină și altceva, sau al cărei firewall este administrat de un plan de control din cloud în locul sistemului de operare, este o instalare diferită de o mașină virtuală curată. Notați protocolul pe care îl activați și versiunea pe care o folosiți, apoi verificați ambele față de lista de suport a proiectului, nu față de un articol de blog de anul trecut.

Activarea serviciului nu deschide drumul către el. Pentru IPsec, rețeaua din fața gazdei trebuie să permită UDP 500 și 4500 și, în funcție de implementare, protocolul ESP însuși. Un script care se termină cu succes în spatele unui grup de securitate care aruncă protocolul 50 a produs un server la care nu ajunge nimeni, și nimic din ieșirea instalatorului nu va spune asta.

Ce preia de fapt instalatorul

Așteptați-vă la un fișier de configurare și de secrete IPsec, o configurare a demonului L2TP, opțiuni PPP și unități systemd care dețin acum acele porturi. README-ul proiectului precizează că fișierele de configurare existente sunt salvate înainte de modificări, ceea ce este util și nu este același lucru cu o copie de siguranță a gazdei. Decideți ce componente vor fi actualizate de pachetele distribuției și care prin rularea sau rescrierea din nou a scriptului, pentru că sunt două căi de întreținere cu moduri de eșec diferite.

Fixați revizia pe care ați aprobat-o. Un URL de descărcare care servește ramura implicită actuală poate returna alt conținut luna viitoare, așa că notați commit-ul sau versiunea pe care ați rulat-o și păstrați o copie. Acel singur obicei transformă o stare neattribuibilă în ceva la care o a doua persoană se poate gândi la două dimineața.

Ce nu vă poate da scriptul

Automatizarea produce o instalare funcțională și se oprește acolo. Nu decide ce resurse private trebuie să atingă tunelul, ceea ce este o chestiune de politică de acces despre care au o părere atât firewallul gazdei, cât și rețeaua de deasupra. Nu decide cine primește acreditări, cum sunt livrate sau cum este eliminat accesul unei persoane când pleacă. Și nu decide cum este recuperată mașina după o actualizare proastă, care este partea descoperită de obicei în cel mai rău moment posibil.

Profilurile de client și secretele afișate sunt material de acces, nu jurnale de instalare. Un profil generat și lipit într-un canal partajat este un cont, iar același standard se aplică capturilor de ecran ale rezumatului configurării. Țineți un inventar protejat al stării de identitate necesare pentru restabilirea serviciului și notați care dintre acele acreditări au fost revocate de atunci.

Primul client este testul de acceptare

Acceptați implementarea de la un singur client autorizat, cu protocolul pe care l-ați activat efectiv. Verificați că numele privat se rezolvă, că calea de întoarcere funcționează, că o reconectare se comportă corect și că o destinație din afara mulțimii permise este refuzată. O autentificare reușită dintr-o altă aplicație client nu este dovadă despre cea pe care ați livrat-o.

Dacă combinația dorită nu mai este acceptată, alegeți înainte de instalare o cale întreținută. Reanimarea unei versiuni vechi, slăbirea autentificării sau rularea din nou a unui script neexplicat sunt amânări, nu planuri de întreținere, și fiecare dintre ele îngreunează predarea.

Scrieți pagina de predare

Păstrați-o scurtă: serverul, revizia care l-a construit, porturile de care are nevoie, componentele și proprietarii actualizărilor lor, resursele permise, calea acreditărilor și procedura de recuperare. Adăugați calea de consolă sau din afara benzii pe care o veți folosi când o modificare a tunelului este cea care a rupt accesul. Atunci următoarea persoană moștenește un serviciu, nu o comandă de care se teme să ruleze de două ori.

Revizuiți acea pagină când se schimbă gazda, și nu doar când se strică ceva. Un document de predare care nu este citit niciodată este un document care a încetat încet să mai fie adevărat.