Kliëntuitvoer teenoor ’n uitgaande OpenVPN-instansie op pfSense

Jy installeer die Client Export-pakket, maak dit oop, en die bedienerkeuse is leeg. Die natuurlike gevolgtrekking is dat die pakket stukkend is of dat pfSense glad nie as ’n VPN-kliënt kan optree nie, en albei is verkeerd. Die keuse is leeg omdat pfSense geen remote-access-bediener opgestel het nie, en die pakket was nooit die gereedskap om die firewall na buite te laat skakel nie. Twee verskillende take deel ’n woord, en die leë lys is die geluid van een van hulle wat gevra word vir iets wat dit nie doen nie.

Besluit wie begin voordat jy iets installeer

Vra een vraag: watter toestel begin die verbinding? As ’n reisende werknemer by die kantoorfirewall inboek, is pfSense die bediener en die werknemer se skootrekenaar die kliënt. Die pakket wat jy in daardie geval nodig het, berei materiaal vir die skootrekenaar voor, want die skootrekenaar is die kant wat skakel.

As pfSense na iemand anders se VPN-diens uitgaan, is die firewall die kliënt en die afgeleë operateur besit die eindpunt wat jy skakel.

Albei situasies gebruik die woord kliënt, en dit is waar die verwarring begin. Die woord beskryf ’n rol in een verbinding, nie ’n produkategorie nie.

Die uitvoerder is ’n hulpmiddel aan die bedienerkant

Client Export neem ’n remote-access-bediener wat reeds op pfSense bestaan en lewer die materiaal wat ’n verbindende toestel nodig het. Dit lees daardie bediener se instellings, sertifikate en tonnelopsies, en verpak dit dan vir gebruik elders.

Dit is waarom die keuse net bedieners in Remote Access-modus lys. Sonder so ’n bediener is daar niks om uit te voer nie, en die leë lys is ’n akkurate verslag eerder as ’n fout. Skep eers die remote-access-bediener en die keuse vul homself. Daardie volgorde verwar mense meer dikwels as enige instelling binne die pakket.

Die pakketverwysing sê die afhanklikheid duidelik. Lees dit voordat jy aanvaar dat die pakket die bediener vir jou kan skep.

Die uitgaande instansie is ’n aparte opstelling

Om pfSense ’n kliënt van ’n ander diens te maak, beteken om ’n OpenVPN-kliëntinstansie te skep met daardie verskaffer se eindpunt, poort, protokol, geloofsbriewe en vertrouensmateriaal. Netgate dokumenteer dit apart van die uitvoerpakket, want dit is ’n ander objek in die opstelling.

Om die uitvoerder te installeer vul nie enige van daardie velde in nie, en geen uitvoerformaat sal dit vir jou genereer nie. As jou verskaffer ’n profiel verskaf, voer jy die waardes daarvan in of skryf dit oor in die instansie wat jy skep.

Hou die twee opstellings in aparte denkblokkies. Een antwoord ander toestelle; die ander vra ’n ander bediener om ’n tonnel.

Kies die uitvoerformaat wat die toestel kan gebruik

Uitvoere kom as inline-opstellings, gebundelde argiewe en installeerders vir spesifieke kliënttoepassings. Kies volgens wat die ontvangende toestel werklik kan invoer, nie volgens watter aflaai die volledigste lyk nie.

’n Inlynlêer is gerieflik vir ’n kliënt wat geplakte opstelling aanvaar. ’n Bondel dra aparte lêers en pas by ’n kliënt wat ’n gids wil hê. ’n Installeerder veronderstel dat ’n bepaalde toepassing op daardie platform aanvaarbaar is, wat ’n beleidsbeslissing net soveel as ’n tegniese een is. Vra watter kliënt die ontvangende span ondersteun voordat jy enigiets aflaai.

Sommige uitvoere bevat sertifikate en private sleutels, en die wagwoord wat daardie sleutelmateriaal beskerm, kan van die gebruiker se rekeningwagwoord verskil. Lewer die materiaal deur die goedgekeurde inskrywingskanaal eerder as om ’n volledige uitvoer as ’n opstellingsvoorbeeld in ’n kaartjie te plak.

Werf-tot-werf het rolle en roetes nodig, nie ’n pakket nie

’n Taktonnel is weer ’n ander ontwerp. Identifiseer watter eindpunt die bedienerrol het en watter die kliëntrol het, en definieer dan die gerouteerde netwerke aan beide kante voordat jy iets opstel.

Client Export het geen mening oor die tak se roetes, deurstuurtoestemming of terugpad nie, want die voorbereiding van remote-access-kliëntmateriaal is sy hele taak.

Kry die rolle en die roetelys eers op skrif, en die pakketvraag antwoord homself. Kry dit verkeerd, en geen uitvoerformaat red die ontwerp nie. Dieselfde geld vir die terugpad: ’n tak wat die sentrum kan bereik en nie geantwoord kan word nie, is nie ’n werkende tonnel nie.