Po inštalačnom skripte musí niekto vlastniť VPN server

Dve rôzne práce sa predávajú ako jedna: premena stroja na server VPN a pridanie klienta VPN na notebook, ktorý sa má pripojiť k cudzej bráne. Inštalačný skript odpovedá na prvú a nedokáže odpovedať na druhú, čokoľvek naznačuje jeho README. Vezmite projekt setup-ipsec-vpn ako konkrétny príklad: stavia server IPsec/L2TP, Cisco IPsec alebo IKEv2 na podporovanom hostiteľovi Linux pomocou Libreswan a xl2tpd. To je zmluva o nasadení pre server, nie všeobecný recept pre akýkoľvek stroj. Rozhodnite, akú prácu máte, skôr než sa skript spustí, pretože všetko ďalšie sa týka servera.

Buďte úprimní ohľadne hostiteľa

Stroj, ktorý tiež ukončuje niečo iné, alebo ktorého firewall riadi cloudová riadiaca rovina namiesto operačného systému, je iná inštalácia než čistý virtuálny stroj. Zapíšte protokol, ktorý zapínate, a vydanie, ktoré používate, a potom oboje overte proti zoznamu podpory projektu, nie proti blogovému príspevku z minulého roka.

Zapnutie služby neotvára cestu k nej. Pri IPsec musí sieť pred hostiteľom prepúšťať UDP 500 a 4500 a podľa nasadenia aj samotný protokol ESP. Skript, ktorý sa úspešne skončí za bezpečnostnou skupinou zahadzujúcou protokol 50, vytvoril server, ku ktorému sa nikto nedostane, a nič vo výstupe inštalátora to nepovie.

Čo inštalátor skutočne preberá

Očakávajte konfiguráciu a súbor tajomstiev IPsec, konfiguráciu démona L2TP, voľby PPP a jednotky systemd, ktoré teraz vlastnia tieto porty. README projektu uvádza, že existujúce konfiguračné súbory sa pred zmenami zálohujú, čo je užitočné a nie je to isté ako záloha hostiteľa. Rozhodnite, ktoré komponenty sa budú aktualizovať balíkmi distribúcie a ktoré opätovným spustením alebo prepísaním skriptu, pretože sú to dve cesty údržby s rôznymi režimami zlyhania.

Pripnite revíziu, ktorú ste schválili. URL na stiahnutie, ktoré obsluhuje aktuálnu predvolenú vetvu, môže budúci mesiac vrátiť iný obsah, takže zapíšte commit alebo vydanie, ktoré ste spustili, a uchovajte jeho kópiu. Tento jediný návyk mení nepriraditeľný stav na niečo, o čom môže druhý človek uvažovať o druhej ráno.

Čo vám skript nemôže dať

Automatizácia vytvorí fungujúcu inštaláciu a tam sa zastaví. Nerozhoduje, ku ktorým súkromným zdrojom má tunel dosiahnuť, čo je otázka politiky prístupu, ku ktorej má čo povedať firewall hostiteľa aj sieť nad ním. Nerozhoduje, kto dostane prihlasovacie údaje, ako sa doručia ani ako sa niekoho prístup odstráni, keď odíde. A nerozhoduje ako sa stroj obnovuje po zlej aktualizácii, čo je časť, ktorá sa zvyčajne objaví v najhoršom možnom okamihu.

Klientske profily a zobrazené tajomstvá sú prístupový materiál, nie inštalačné záznamy. Vygenerovaný profil vložený do zdieľaného kanála je účet a rovnaký štandard platí pre snímky obrazovky so zhrnutím nastavenia. Veďte chránený inventár stavu identity potrebného na obnovu služby a poznamenajte, ktoré z týchto údajov boli odvtedy odvolané.

Prvý klient je akceptačný test

Prijmite nasadenie od jedného autorizovaného klienta, s protokolom, ktorý ste skutočne zapnuli. Skontrolujte, či sa súkromné meno prekladá, či spiatočná cesta funguje, či sa opätovné pripojenie správa správne a či je cieľ mimo povolenej množiny odmietnutý. Úspešné prihlásenie z inej klientskej aplikácie nie je dôkazom o tej, ktorú ste vydali.

Ak kombinácia, ktorú chcete, už nie je podporovaná, pred inštaláciou si vyberte udržiavanú cestu. Oživovanie starého vydania, oslabovanie autentifikácie alebo opätovné spúšťanie nevysvetleného skriptu sú odklady, nie plány údržby, a každý z nich sťažuje odovzdanie.

Napíšte stránku odovzdania

Držte ju krátku: server, revízia, ktorá ho postavila, potrebné porty, komponenty a ich vlastníci aktualizácií, povolené zdroje, cesta prihlasovacích údajov a postup obnovy. Pridajte konzolovú alebo mimopásmovú cestu, ktorú použijete, keď práve zmena tunela pokazila prístup. Potom ďalší človek zdedí službu, nie príkaz, ktorý sa bojí spustiť dvakrát.

Túto stránku revidujte, keď sa zmení hostiteľ, a nie len vtedy, keď sa niečo pokazí. Dokument odovzdania, ktorý sa nikdy nečíta, je dokument, ktorý ticho prestal byť pravdivý.