Nakon skripte za postavljanje netko mora preuzeti vlasništvo nad VPN poslužiteljem

Dva različita posla prodaju se kao jedan: pretvaranje stroja u VPN poslužitelj i dodavanje VPN klijenta na prijenosno računalo koje se treba pridružiti tuđem pristupniku. Skripta za postavljanje odgovara na prvo i ne može odgovoriti na drugo, što god njezin README sugerirao. Uzmite projekt setup-ipsec-vpn kao konkretan primjer: gradi IPsec/L2TP, Cisco IPsec ili IKEv2 poslužitelj na podržanom Linux hostu koristeći Libreswan i xl2tpd. To je ugovor o postavljanju za poslužitelj, a ne opći recept za bilo koji stroj. Odredite koji posao imate prije nego skripta krene, jer se sve poslije odnosi na poslužitelj.

Budite iskreni o hostu

Stroj koji prekida i nešto drugo, ili čijim vatrozidom upravlja cloud kontrolna ravnina umjesto operacijskog sustava, drugačija je instalacija od čistog virtualnog stroja. Zapišite protokol koji omogućujete i izdanje koje koristite, pa oboje provjerite prema popisu podrške projekta, a ne prema blogu od prošle godine.

Omogućavanje usluge ne otvara put do nje. Za IPsec mreža ispred hosta mora propuštati UDP 500 i 4500 i, ovisno o postavljanju, sam ESP protokol. Skripta koja uspješno završi iza sigurnosne grupe koja odbacuje protokol 50 proizvela je poslužitelj do kojeg nitko ne može doći, i ništa u izlazu instalatera to neće reći.

Što instalater zapravo preuzima

Očekujte IPsec konfiguraciju i datoteku tajni, konfiguraciju L2TP demona, PPP opcije i systemd jedinice koje sada posjeduju te portove. README projekta navodi da se postojeće konfiguracijske datoteke sigurnosno kopiraju prije promjena, što je korisno i nije isto što i sigurnosna kopija hosta. Odlučite koje će se komponente ažurirati paketima distribucije, a koje ponovnim pokretanjem ili prepisivanjem skripte, jer su to dva puta održavanja s različitim načinima kvara.

Prikvačite reviziju koju ste odobrili. URL za preuzimanje koji poslužuje trenutačnu zadanu granu može sljedeći mjesec vratiti drugačiji sadržaj, pa zabilježite commit ili izdanje koje ste pokrenuli i sačuvajte njegovu kopiju. Ta jedna navika pretvara stanje koje se ne može pripisati u nešto o čemu druga osoba može razmišljati u dva sata ujutro.

Što vam skripta ne može dati

Automatizacija proizvodi radnu instalaciju i tu se zaustavlja. Ne odlučuje koje privatne resurse tunel treba dosegnuti, a to je pitanje politike pristupa o kojem mišljenje imaju i vatrozid hosta i mreža iznad. Ne odlučuje kome se dodjeljuju vjerodajnice, kako se dostavljaju ni kako se nečiji pristup uklanja kada osoba ode. I ne odlučuje kako se stroj oporavlja nakon lošeg ažuriranja, a to je dio koji se obično otkrije u najgorem mogućem trenutku.

Profili klijenata i prikazane tajne su pristupni materijal, a ne instalacijski zapisi. Generirani profil zalijepljen u zajednički kanal je račun, a isti standard vrijedi i za snimke zaslona sažetka postavljanja. Vodite zaštićeni popis identitetskog stanja potrebnog za obnovu usluge i zabilježite koje su od tih vjerodajnica u međuvremenu opozvane.

Prvi je klijent prijamni test

Prihvatite postavljanje s jednog ovlaštenog klijenta, koristeći protokol koji ste stvarno omogućili. Provjerite da se privatno ime razrješava, da povratni put radi, da se ponovno povezivanje ponaša ispravno i da se odredište izvan dopuštenog skupa odbija. Uspješna prijava iz druge klijentske aplikacije nije dokaz o onoj koju ste isporučili.

Ako kombinacija koju želite više nije podržana, odaberite održavani put prije instalacije. Oživljavanje starog izdanja, slabljenje autentikacije ili ponovno pokretanje neobjašnjene skripte su odgode, a ne planovi održavanja, i svaki od njih otežava primopredaju.

Napišite stranicu primopredaje

Neka bude kratka: poslužitelj, revizija koja ga je izgradila, portovi koji su mu potrebni, komponente i njihovi vlasnici ažuriranja, dopušteni resursi, put vjerodajnica i postupak oporavka. Dodajte konzolni ili izvanpojasni put koji ćete koristiti kada je promjena na tunelu ono što je pokvarilo pristup. Tada sljedeća osoba nasljeđuje uslugu, a ne naredbu koju se boji pokrenuti dvaput.

Pregledajte tu stranicu kada se host promijeni, i to ne samo kada se nešto pokvari. Dokument primopredaje koji se nikad ne čita dokument je koji je tiho prestao biti istinit.