Pagkatapos tumakbo ang setup script, kailangan may nagmamay-ari ng VPN server

Dalawang magkaibang trabaho ang ibinebenta bilang isa: gawing VPN server ang isang makina, at magdagdag ng VPN client sa laptop na dapat sumali sa gateway ng ibang tao. Sinasagot ng setup script ang una at hindi masasagot ang pangalawa, anuman ang ipinahihiwatig ng README nito. Kunin ang ang proyektong setup-ipsec-vpn bilang konkretong halimbawa: nagtatayo ito ng IPsec/L2TP, Cisco IPsec o IKEv2 server sa sinusuportahang Linux host gamit ang Libreswan at xl2tpd. Iyon ay kontrata ng pag-deploy para sa isang server, hindi pangkalahatang resipe para sa anumang makina. Magpasya kung aling trabaho ang sa iyo bago tumakbo ang script, dahil ang lahat ng sumunod ay tungkol sa server.

Maging tapat tungkol sa host

Ang makinang nagtatapos din ng ibang bagay, o na ang firewall ay pinamamahalaan ng cloud control plane sa halip na ng operating system, ay ibang installation kaysa sa malinis na virtual machine. Isulat ang protocol na binubuksan mo at ang release na ginagamit mo, pagkatapos suriin ang dalawa laban sa listahan ng suporta ng proyekto, hindi laban sa blog post ng nakaraang taon.

Ang pagpapagana ng serbisyo ay hindi nagbubukas ng landas patungo rito. Para sa IPsec, dapat payagan ng network sa harap ng host ang UDP 500 at 4500 at, depende sa deployment, ang protocol na ESP mismo. Ang script na matagumpay na nagtatapos sa likod ng security group na nagtatapon ng protocol 50 ay gumawa ng server na walang makarating, at walang anuman sa output ng installer ang magsasabi nito.

Ano ang aktwal na kinukuha ng installer

Asahan ang configuration at secrets file ng IPsec, configuration ng L2TP daemon, mga opsyon sa PPP at mga systemd unit na ngayon ay nagmamay-ari ng mga port na iyon. Sinasabi ng README ng proyekto na ang umiiral na mga configuration file ay naka-backup bago ang mga pagbabago, na kapaki-pakinabang at hindi kapareho ng backup ng host. Magpasya kung aling mga bahagi ang ia-update ng mga package ng distribusyon at alin sa pamamagitan ng muling pagpapatakbo o muling pagsulat ng script, dahil ito ay dalawang landas ng maintenance na may magkaibang paraan ng pagpalya.

I-pin ang revision na inaprubahan mo. Ang download URL na nagsisilbi sa kasalukuyang default branch ay maaaring magbalik ng ibang nilalaman sa susunod na buwan, kaya itala ang commit o release na pinatakbo mo at itago ang kopya. Ang isang ugali na iyon ay ginagawang isang bagay na maiisip ng ikalawang tao sa alas-dos ng madaling-araw ang isang estadong hindi maipaliwanag.

Ano ang hindi maibibigay ng script

Ang automation ay gumagawa ng gumaganang installation at doon tumitigil. Hindi nito pinagpapasyahan kung aling mga pribadong mapagkukunan ang dapat abutin ng tunnel, na isang tanong sa patakaran sa pag-access kung saan may opinyon ang firewall ng host at ang network sa itaas. Hindi rin nito pinagpapasyahan kung sino ang tumatanggap ng mga kredensyal, paano ito inihahatid, o paano inaalis ang access ng isang tao kapag umalis siya. At hindi nito pinagpapasyahan ang paano naibabalik ang makina pagkatapos ng masamang update, na siyang bahaging karaniwang natutuklasan sa pinakamasamang sandali.

Ang mga profile ng kliyente at ang mga ipinakitang sikreto ay materyal ng access, hindi mga log ng installation. Ang nabuong profile na idinikit sa isang shared channel ay isang account, at ang parehong pamantayan ay nalalapat sa mga screenshot ng buod ng setup. Panatilihin ang protektadong imbentaryo ng estado ng pagkakakilanlan na kailangan upang maibalik ang serbisyo, at itala kung alin sa mga kredensyal na iyon ang binawi mula noon.

Ang unang kliyente ay ang pagsubok sa pagtanggap

Tanggapin ang deployment mula sa isang awtorisadong kliyente, gamit ang protocol na aktwal mong binuksan. Suriin kung nareresolba ang pribadong pangalan, gumagana ang pabalik na landas, kumikilos nang tama ang muling pagkonekta, at tinatanggihan ang destinasyong labas ng pinapayagang set. Ang matagumpay na pag-login mula sa ibang client application ay hindi patunay tungkol sa ipinadala mo.

Kung ang kombinasyong gusto mo ay hindi na sinusuportahan, pumili ng pinapanatiliang landas bago ang installation. Ang muling pagbuhay ng lumang release, pagpapahina ng authentication o muling pagpapatakbo ng hindi maipaliwanag na script ay mga pagpapaliban, hindi mga plano sa maintenance, at bawat isa ay nagpapahirap sa paglilipat.

Isulat ang pahina ng paglilipat

Panatilihing maikli: ang server, ang revision na nagtayo nito, ang mga port na kailangan nito, ang mga bahagi at ang kanilang mga may-ari ng update, ang mga pinapayagang mapagkukunan, ang landas ng kredensyal at ang pamamaraan ng pagbawi. Idagdag ang console o labas ng banda na landas na gagamitin mo kapag ang pagbabago sa tunnel ang siyang sumira sa access. Kung gayon ang susunod na tao ay magmamana ng serbisyo sa halip na utos na kinatatakutan niyang patakbuhin nang dalawang beses.

Suriin ang pahinang iyon kapag nagbago ang host, at hindi lamang kapag may nasira. Ang dokumento ng paglilipat na hindi kailanman binabasa ay dokumentong tahimik na tumigil na maging totoo.