После скрипте за подешавање неко мора преузети власништво над VPN сервером

Два различита посла продају се као један: претварање машине у VPN сервер и додавање VPN клијента на преносни рачунар који треба да се придружи туђем приступнику. Скрипта за подешавање одговара на прво и не може да одговори на друго, шта год њен README сугерисао. Узмите пројекат setup-ipsec-vpn као конкретан пример: гради IPsec/L2TP, Cisco IPsec или IKEv2 сервер на подржаном Linux хосту користећи Libreswan и xl2tpd. То је уговор о постављању за сервер, а не општи рецепт за било коју машину. Одредите који посао имате пре него скрипта крене, јер се све после односи на сервер.

Будите искрени о хосту

Машина која прекида и нешто друго, или чијим заштитним зидом управља облачна контролна раван уместо оперативног система, другачија је инсталација од чистог виртуелног строја. Запишите протокол који омогућавате и издање које користите, па обоје проверите према листи подршке пројекта, а не према блогу од прошле године.

Омогућавање услуге не отвара пут до ње. За IPsec мрежа испред хоста мора да пропушта UDP 500 и 4500 и, зависно од постављања, сам ESP протокол. Скрипта која успешно заврши иза сигурносне групе која одбацује протокол 50 произвела је сервер до којег нико не може да дође, и ништа у излазу инсталера то неће рећи.

Шта инсталер заиста преузима

Очекујте IPsec конфигурацију и датотеку тајни, конфигурацију L2TP демона, PPP опције и systemd јединице које сада поседују те портове. README пројекта наводи да се постојеће конфигурационе датотеке сигурносно копирају пре промена, што је корисно и није исто што и сигурносна копија хоста. Одлучите које ће компоненте ажурирати пакети дистрибуције, а које поновно покретање или преписивање скрипте, јер су то два пута одржавања с различитим начинима отказа.

Причврстите ревизију коју сте одобрили. URL за преузимање који служи тренутну задату грану може следећег месеца да врати другачији садржај, зато запишите commit или издање које сте покренули и сачувајте његову копију. Та једна навика претвара стање које се не може приписати у нешто о чему друга особа може да размишља у два сата ујутру.

Шта скрипта не може да вам да

Аутоматизација производи радну инсталацију и ту се зауставља. Не одлучује које приватне ресурсе тунел треба да достигне, а то је питање политике приступа о ком мишљење имају и заштитни зид хоста и мрежа изнад. Не одлучује коме се додељују акредитиви, како се достављају ни како се нечији приступ уклања када особа оде. И не одлучује како се машина опоравља после лошег ажурирања, а то је део који се обично открије у најгорем могућем тренутку.

Профили клијената и приказане тајне су приступни материјал, а не инсталациони записи. Генерисани профил залепљен у заједнички канал је рачун, а исти стандард важи и за снимке екрана сажетка подешавања. Водите заштићени попис идентитетског стања потребног за обнову услуге и забележите које су од тих акредитива у међувремену опозване.

Први клијент је пријемни тест

Прихватите постављање с једног овлашћеног клијента, користећи протокол који сте стварно омогућили. Проверите да се приватно име разрешава, да повратни пут ради, да се поновно повезивање понаша исправно и да се одредиште изван дозвољеног скупа одбија. Успешна пријава из друге клијентске апликације није доказ о оној коју сте испоручили.

Ако комбинација коју желите више није подржана, изаберите одржавани пут пре инсталације. Оживљавање старог издања, слабљење аутентификације или поновно покретање необјашњене скрипте су одлагања, а не планови одржавања, и сваки од њих отежава примопредају.

Напишите страницу примопредаје

Нека буде кратка: сервер, ревизија која га је изградила, портови који су му потребни, компоненте и њихови власници ажурирања, дозвољени ресурси, пут акредитива и поступак опоравка. Додајте конзолни или ванпојасни пут који ћете користити када је промена на тунелу оно што је покварило приступ. Тада следећа особа наслеђује услугу, а не наредбу које се боји да покрене двапут.

Прегледајте ту страницу када се хост промени, и то не само када се нешто поквари. Документ примопредаје који се никада не чита документ је који је тихо престао да буде истинит.