Pas skriptit të konfigurimit, dikush duhet të jetë pronar i serverit VPN

Dy punë të ndryshme shiten si një: kthimi i një makine në server VPN dhe shtimi i një klienti VPN në një laptop që duhet të bashkohet me portën e dikujt tjetër. Skripti i konfigurimit përgjigjet për të parën dhe nuk mund të përgjigjet për të dytën, çfarëdo që sugjeron README i tij. Merrni projekti setup-ipsec-vpn si shembull konkret: ndërton një server IPsec/L2TP, Cisco IPsec ose IKEv2 në një host Linux të mbështetur me Libreswan dhe xl2tpd. Ky është një kontratë vendosjeje për një server, jo një recetë e përgjithshme për çdo makinë. Vendosni çfarë pune keni para se të ekzekutohet skripti, sepse gjithçka pas kësaj ka të bëjë me serverin.

Jini të sinqertë për hostin

Një makinë që përfundon edhe diçka tjetër, ose muri i së cilës zjarrit menaxhohet nga një plan kontrolli në re në vend të sistemit operativ, është një instalim i ndryshëm nga një makinë virtuale e pastër. Shkruani protokollin që aktivizoni dhe versionin që përdorni, pastaj kontrolloni të dyja kundrejt listës së mbështetjes së projektit, jo kundrejt një postimi në blog të vitit të kaluar.

Aktivizimi i shërbimit nuk hap rrugën drejt tij. Për IPsec, rrjeti përpara hostit duhet të lejojë UDP 500 dhe 4500 dhe, në varësi të vendosjes, vetë protokollin ESP. Një skript që përfundon me sukses pas një grupi sigurie që hedh protokollin 50 ka krijuar një server që askush nuk e arrin, dhe asgjë në daljen e instaluesit nuk do ta thotë atë.

Çfarë merr vërtet instaluesi

Prisni një konfigurim dhe skedar sekretesh IPsec, një konfigurim të daemonit L2TP, opsione PPP dhe njësi systemd që tani zotërojnë ato porta. README i projektit thotë se skedarët ekzistues të konfigurimit kopjohen para ndryshimeve, gjë që është e dobishme dhe nuk është e njëjta gjë si një kopje rezervë e hostit. Vendosni cilat komponentë do të përditësohen nga paketat e shpërndarjes dhe cilat duke e ekzekutuar ose rishkruar skriptin përsëri, sepse këto janë dy rrugë mirëmbajtjeje me mënyra të ndryshme dështimi.

Fiksoni rishikimin që keni miratuar. Një URL shkarkimi që shërben degën aktuale të paracaktuar mund të kthejë përmbajtje tjetër muajin tjetër, prandaj shkruani commit-in ose versionin që ekzekutuat dhe mbani një kopje. Ai zakon i vetëm e kthen një gjendje të papërshkrueshme në diçka për të cilën një person i dytë mund të mendojë në orën dy të mëngjesit.

Çfarë nuk mund tju japë skripti

Automatizimi prodhon një instalim funksional dhe ndalon aty. Nuk vendos se cilat burime private duhet të arrijë tuneli, që është një çështje e politikës së aksesit për të cilën kanë mendim edhe muri i zjarrit i hostit edhe rrjeti sipër. Nuk vendos kush merr kredenciale, si dorëzohen ose si hiqet aksesi i dikujt kur largohet. Dhe nuk vendos si rikuperohet makina pas një përditësimi të keq, që është pjesa që zakonisht zbulohet në momentin më të keq të mundshëm.

Profilet e klientit dhe sekretet e shfaqura janë material aksesi, jo regjistra instalimi. Një profil i gjeneruar dhe i ngjitur në një kanal të përbashkët është një llogari, dhe i njëjti standard vlen për pamjet e ekranit të përmbledhjes së konfigurimit. Mbani një inventar të mbrojtur të gjendjes së identitetit të nevojshëm për të rivendosur shërbimin dhe shënoni cilat nga ato kredenciale janë revokuar që atëherë.

Klienti i parë është provimi i pranimit

Pranoni vendosjen nga një klient i autorizuar, me protokollin që vërtet aktivizuat. Kontrolloni që emri privat zgjidhet, që rruga e kthimit funksionon, që rikonektimi sillet saktë dhe që një destinacion jashtë grupit të lejuar refuzohet. Një identifikim i suksesshëm nga një aplikacion tjetër klienti nuk është provë për atë që dorëzuat.

Nëse kombinimi që dëshironi nuk mbështetet më, zgjidhni para instalimit një rrugë të mirëmbajtur. Ringjallja e një versioni të vjetër, dobësimi i vërtetimit ose riekzekutimi i një skripti të pashpjeguar janë shtyrje, jo plane mirëmbajtjeje, dhe secila prej tyre e vështirëson dorëzimin.

Shkruani faqen e dorëzimit

Mbajeni të shkurtër: serveri, rishikimi që e ndërtoi, portat që i nevojiten, komponentët dhe pronarët e përditësimit të tyre, burimet e lejuara, rruga e kredencialeve dhe procedura e rikuperimit. Shtoni rrugën e konsolës ose jashtë brezit që do të përdorni kur një ndryshim në tunel është ai që theu aksesin. Atëherë personi tjetër trashëgon një shërbim, jo një komandë që ka frikë ta ekzekutojë dy herë.

Rishikoni atë faqe kur ndryshon hosti, dhe jo vetëm kur prishet diçka. Një dokument dorëzimi që nuk lexohet kurrë është një dokument që ndaloi në heshtje së qeni i vërtetë.