После скрипта установки у VPN-сервера должен быть владелец

Две разные работы продаются как одна: превратить машину в VPN-сервер и добавить VPN-клиент на ноутбук, который должен подключиться к чужому шлюзу. Скрипт установки отвечает на первую и не может ответить на вторую, что бы ни подразумевал его README. Возьмите проект setup-ipsec-vpn как конкретный пример: он собирает сервер IPsec/L2TP, Cisco IPsec или IKEv2 на поддерживаемом хосте Linux с помощью Libreswan и xl2tpd. Это контракт развёртывания для сервера, а не общий рецепт для любой машины. Решите, какая работа у вас, до запуска скрипта, потому что всё дальнейшее касается сервера.

Будьте честны насчёт хоста

Машина, которая также завершает что-то другое, или межсетевой экран которой управляется облачной панелью, а не операционной системой, это другая установка, чем чистая виртуальная машина. Запишите протокол, который вы включаете, и выпуск, который используете, затем сверьте оба со списком поддержки проекта, а не с записью в блоге прошлого года.

Включение службы не открывает путь к ней. Для IPsec сеть перед хостом должна пропускать UDP 500 и 4500 и, в зависимости от развёртывания, сам протокол ESP. Скрипт, успешно завершившийся за группой безопасности, отбрасывающей протокол 50, создал сервер, до которого никто не дотянется, и ничто в выводе установщика об этом не скажет.

Что установщик на самом деле забирает

Ожидайте конфигурацию и файл секретов IPsec, конфигурацию демона L2TP, параметры PPP и юниты systemd, которые теперь владеют этими портами. README проекта указывает, что существующие конфигурационные файлы копируются перед изменениями, что полезно и не то же самое, что резервная копия хоста. Решите, какие компоненты будут обновляться пакетами дистрибутива, а какие повторным запуском или переписыванием скрипта, потому что это два пути обслуживания с разными режимами отказа.

Закрепите ревизию, которую одобрили. Адрес загрузки, отдающий текущую ветку по умолчанию, в следующем месяце может вернуть другое содержимое, поэтому запишите commit или выпуск, который запускали, и сохраните его копию. Эта одна привычка превращает состояние, которое нечем объяснить, в то, о чём второй человек может думать в два часа ночи.

Чего скрипт не может дать

Автоматизация создаёт рабочую установку и на этом останавливается. Она не решает, до каких частных ресурсов должен доходить туннель, а это вопрос политики доступа, о котором есть мнение и у межсетевого экрана хоста, и у сети выше. Она не решает, кто получает учётные данные, как их выдают и как снимают чей-то доступ, когда человек уходит. И она не решает как восстанавливается машина после неудачного обновления, а это та часть, которая обычно обнаруживается в самый неподходящий момент.

Клиентские профили и показанные секреты это материал доступа, а не журналы установки. Сгенерированный профиль, вставленный в общий канал, это учётная запись, и тот же стандарт относится к снимкам экрана с итогами настройки. Ведите защищённую опись состояния идентичности, нужного для восстановления службы, и отмечайте, какие из этих учётных данных с тех пор отозваны.

Первый клиент это приёмочный тест

Примите развёртывание от одного авторизованного клиента, с тем протоколом, который вы действительно включили. Проверьте, что частное имя разрешается, обратный путь работает, переподключение ведёт себя правильно и цель вне разрешённого набора отклоняется. Успешный вход из другого клиентского приложения не доказывает ничего о том, которое вы отдали.

Если нужное сочетание больше не поддерживается, до установки выберите обслуживаемый путь. Оживление старого выпуска, ослабление аутентификации или повторный запуск необъяснённого скрипта это отсрочки, а не планы обслуживания, и каждая из них усложняет передачу.

Напишите страницу передачи

Держите её короткой: сервер, ревизия, которая его собрала, нужные порты, компоненты и их владельцы обновлений, разрешённые ресурсы, путь учётных данных и процедура восстановления. Добавьте консольный или внешний путь, которым будете пользоваться, когда именно изменение туннеля сломало доступ. Тогда следующий человек наследует службу, а не команду, которую боится запустить дважды.

Пересматривайте эту страницу, когда меняется хост, а не только когда что-то ломается. Документ передачи, который никто не читает, это документ, который тихо перестал быть верным.