หลังจากสคริปต์ติดตั้งทำงานแล้ว ต้องมีใครสักคนเป็นเจ้าของเซิร์ฟเวอร์ VPN

งานสองอย่างที่ต่างกันถูกขายเป็นอย่างเดียว: การเปลี่ยนเครื่องให้เป็นเซิร์ฟเวอร์ VPN และการเพิ่มไคลเอนต์ VPN ให้แล็ปท็อปที่ต้องเข้าร่วมเกตเวย์ของคนอื่น สคริปต์ติดตั้งตอบอย่างแรกและตอบอย่างที่สองไม่ได้ ไม่ว่า README ของมันจะบอกเป็นนัยอย่างไร เอา โปรเจกต์ setup-ipsec-vpn เป็นตัวอย่างที่เป็นรูปธรรม: มันสร้างเซิร์ฟเวอร์ IPsec/L2TP Cisco IPsec หรือ IKEv2 บนโฮสต์ Linux ที่รองรับโดยใช้ Libreswan และ xl2tpd นี่คือสัญญาการติดตั้งใช้สำหรับเซิร์ฟเวอร์ ไม่ใช่สูตรทั่วไปสำหรับเครื่องใด ๆ ตัดสินใจว่างานใดเป็นของคุณก่อนสคริปต์จะรัน เพราะทุกอย่างหลังจากนั้นเกี่ยวกับเซิร์ฟเวอร์

ซื่อสัตย์เกี่ยวกับโฮสต์

เครื่องที่สิ้นสุดอย่างอื่นด้วย หรือไฟร์วอลล์ถูกจัดการโดยระนาบควบคุมบนคลาวด์แทนระบบปฏิบัติการ คือการติดตั้งที่แตกต่างจากเครื่องเสมือนที่สะอาด เขียนโปรโตคอลที่คุณเปิดใช้งานและรีลีสที่คุณใช้ แล้วตรวจสอบทั้งสองอย่างกับรายการสนับสนุนของโปรเจกต์ ไม่ใช่กับโพสต์บล็อกของปีที่แล้ว

การเปิดใช้บริการไม่ได้เปิดเส้นทางไปยังมัน สำหรับ IPsec เครือข่ายหน้าโฮสต์ต้องยอมให้ UDP 500 และ 4500 ผ่าน และขึ้นอยู่กับการติดตั้งใช้ โปรโตคอล ESP เองด้วย สคริปต์ที่จบอย่างสำเร็จหลังกลุ่มความปลอดภัยที่ทิ้งโปรโตคอล 50 ได้สร้างเซิร์ฟเวอร์ที่ไม่มีใครเข้าถึง และไม่มีสิ่งใดในเอาต์พุตของตัวติดตั้งจะบอกเช่นนั้น

สิ่งที่ตัวติดตั้งรับไปจริง ๆ

คาดว่าจะมีไฟล์การกำหนดค่าและความลับของ IPsec การกำหนดค่าดีมอน L2TP ตัวเลือก PPP และยูนิต systemd ที่เป็นเจ้าของพอร์ตเหล่านั้นแล้ว README ของโปรเจกต์ระบุว่าไฟล์กำหนดค่าที่มีอยู่จะถูกสำรองก่อนการเปลี่ยนแปลง ซึ่งมีประโยชน์และไม่เหมือนกับการสำรองโฮสต์ ตัดสินใจว่าองค์ประกอบใดจะอัปเดตด้วยแพ็กเกจของดิสทริบิวชันและองค์ประกอบใดด้วยการรันหรือเขียนสคริปต์ใหม่ เพราะสองเส้นทางการบำรุงรักษาที่มีโหมดความล้มเหลวต่างกัน

ปักหมุดรีวิชันที่คุณอนุมัติ URL ดาวน์โหลดที่ให้บริการสาขาเริ่มต้นปัจจุบันอาจคืนเนื้อหาอื่นในเดือนหน้า ดังนั้นบันทึก commit หรือรีลีสที่คุณรันและเก็บสำเนาไว้ นิสัยเดียวนี้เปลี่ยนสถานะที่อธิบายไม่ได้ให้เป็นสิ่งที่คนที่สองคิดต่อได้ตอนตีสอง

สิ่งที่สคริปต์ให้คุณไม่ได้

ระบบอัตโนมัติสร้างการติดตั้งที่ใช้งานได้และหยุดตรงนั้น มันไม่ตัดสินว่าอุโมงค์ควรเข้าถึงทรัพยากรส่วนตัวใด ซึ่งเป็นคำถามเรื่องนโยบายการเข้าถึงที่ไฟร์วอลล์ของโฮสต์และเครือข่ายด้านบนต่างมีความเห็น มันไม่ตัดสินว่าใครได้รับข้อมูลรับรอง ส่งมอบอย่างไร หรือการเข้าถึงของคนหนึ่งถูกถอดออกอย่างไรเมื่อเขาออกไป และมันไม่ตัดสิน เครื่องถูกกู้คืนอย่างไร หลังการอัปเดตที่ไม่ดี ซึ่งเป็นส่วนที่มักถูกค้นพบในจังหวะที่แย่ที่สุด

โปรไฟล์ไคลเอนต์และความลับที่แสดงเป็นวัสดุการเข้าถึง ไม่ใช่บันทึกการติดตั้ง โปรไฟล์ที่สร้างแล้ววางในช่องทางที่แชร์ร่วมกันคือบัญชี และมาตรฐานเดียวกันใช้กับภาพหน้าจอของสรุปการตั้งค่า เก็บทะเบียนที่ได้รับการป้องกันของสถานะตัวตนที่จำเป็นต่อการกู้คืนบริการ และบันทึกว่าข้อมูลรับรองใดถูกเพิกถอนไปแล้วนับแต่ตอนนั้น

ไคลเอนต์คนแรกคือการทดสอบการยอมรับ

ยอมรับการติดตั้งจากไคลเอนต์ที่ได้รับอนุญาตหนึ่งราย ด้วยโปรโตคอลที่คุณเปิดใช้จริง ตรวจสอบว่าชื่อส่วนตัวแก้ได้ เส้นทางกลับทำงาน การเชื่อมต่อใหม่ประพฤติถูกต้อง และปลายทางนอกชุดที่อนุญาตถูกปฏิเสธ การเข้าสู่ระบบสำเร็จจากแอปไคลเอนต์อื่นไม่ใช่หลักฐานเกี่ยวกับสิ่งที่คุณส่งมอบ

หากชุดค่าผสมที่คุณต้องการไม่ได้รับการสนับสนุนแล้ว ให้เลือกเส้นทางที่ได้รับการดูแลก่อนการติดตั้ง การปลุกชีพรีลีสเก่า การทำให้การพิสูจน์ตัวตนอ่อนแอลง หรือการรันสคริปต์ที่ไม่มีการอธิบายซ้ำเป็นการเลื่อนออกไป ไม่ใช่แผนการบำรุงรักษา และแต่ละอย่างทำให้การส่งมอบยากขึ้น

เขียนหน้าส่งมอบ

เก็บให้สั้น: เซิร์ฟเวอร์ รีวิชันที่สร้างมัน พอร์ตที่ต้องการ องค์ประกอบและเจ้าของการอัปเดต ทรัพยากรที่อนุญาต เส้นทางข้อมูลรับรอง และขั้นตอนการกู้คืน เพิ่มเส้นทางคอนโซลหรือนอกแบนด์ที่คุณจะใช้เมื่อการเปลี่ยนแปลงอุโมงค์เป็นสิ่งที่ทำให้การเข้าถึงเสีย แล้วคนถัดไปจะสืบทอดบริการ ไม่ใช่คำสั่งที่เขากลัวจะรันสองครั้ง

ทบทวนหน้านั้นเมื่อโฮสต์เปลี่ยน ไม่ใช่เฉพาะเมื่อมีบางสิ่งเสีย เอกสารส่งมอบที่ไม่เคยถูกอ่านคือเอกสารที่หยุดเป็นความจริงอย่างเงียบ ๆ