لماذا يفشل نسخ إعدادات خادم OpenVPN إلى فرع

نسخ إعدادات الخادم العاملة وتبديل عنوانين ثم تسمية الناتج ملفًا فرعيًا ينتج عادةً اتصالًا ناجحًا. وهذه أسوأ نتيجة، لأن الفرع يعمل بعدها بدور خاطئ، ويكشف موادَّ لا ينبغي أن تغادر المحور، ويترك ارتباط مسار لا يتذكر أحد أنه أنشأه. يخفي الاتصال ثلاث مشكلات في وقت واحد، ويصعد النفق قبل أن يفحصها أحد.

معاملة الفرع كقرين له هويته ودوره الشبكي هي ما يجعل الملف صحيحًا. الإصلاح ليس نسخة أفضل، وبقية هذه الصفحة تتناول ما ينبغي أن يحتفظ به العميل فعلًا.

دوران يبدوان كملف واحد

في وضع TLS يؤدي القرينان مهام متكاملة. أحد الجانبين يستمع، ويحمل شهادة الخادم ومفتاحه، ويقرر أي العملاء يمكنهم الاتصال. والجانب الآخر يبدأ الاتصال ويتحقق من المستمع ويعرض هويته.

يحتوي ملف الخادم على توجيهات لا معنى لها على العميل: عنوان ربط ومنفذ للاستماع، ومجموعة عناوين للتوزيع، وغالبًا قائمة دفع لإعدادات ينبغي أن يتلقاها العملاء. ونسخ ذلك إلى فرع ينتج جهازًا يحاول أن يكون مستمعًا وعميلًا في الوقت نفسه.

المفتاح الخاص هو الجزء الأهم. يجب ألا يحمل العميل أبدًا المفتاح الخاص للخادم، ولا يحتاج أيضًا مفتاح توقيع CA. شهادة CA مادة ثقة عامة؛ أما مفتاح التوقيع فينتمي إلى حيث تصدر الشهادات.

ما يجب أن يحتويه ملف الفرع

يحتاج ملف الفرع إلى نقطة النهاية البعيدة والنقل، وهوية الخادم الموثوقة، وشهادة الفرع الخاصة ومفتاحه، والمسارات وإعدادات DNS التي يحتاجها الفرع فعلًا. ولا شيء غير ذلك إلزامي.

أبقِ هوية الفرع منفصلة لكل موقع. فرعان يتقاسمان شهادة واحدة يعني أن إلغاء أحدهما يعطّل الآخر، ولا تستطيع سجلات المحور التمييز بينهما. الهوية لكل موقع هي ما يجعل مسار التدقيق وقصة الإلغاء تعملان معًا.

كن حذرًا مع سير عمل الأجهزة. تنتج حزمة Client Export من pfSense ملفات تعريف لسياقات Remote Access المؤهلة، ولا تتضمن قائمة خوادمها إلا الخوادم المهيأة في وضع Remote Access. ولا يظهر خادم موقع-إلى-موقع من وضع آخر، وهذا الغياب معلومة وليس دعوة لنسخ أسرار الخادم.

إذا لم يصدر الجهاز الملف الذي تحتاجه، فاستخدم سير عمل العميل الموثق للموقع-إلى-موقع أو ابنِ الملف من المثال المدعوم في الإصدار المثبت. لا تصدّر نسخة احتياطية للخادم إلى الفرع إلا إذا كانت الخطة استعادة خادم، وهي ليست كذلك. النسخة الاحتياطية تحمل أيضًا مواد المحور الخاصة، لذا نقل واحدة إلى فرع قرار في التعامل مع المفاتيح وليس نقل ملف. أبقِها على المحور وأنشئ هوية العميل حيث تصدر الشهادات.

ارتباط القرين بالشبكة منفصل

عميل الفرع الذي يتصل بنجاح لا يستطيع بعد تمرير حركة شبكته المحلية حتى يعرف المحور أن هذا القرين يملك تلك البادئة. يسكن ذلك الارتباط على المحور، مرتبطًا بهوية العميل، وهو منفصل عن مسار الفرع نفسه نحو الشبكات البعيدة. ومن دونه تظهر مضيفات الفرع قابلة للوصول في إحصاءات النفق وغير قابلة للوصول عمليًا. وسجل المحور هو المكان الذي يؤكد ما إذا طُبِّق الارتباط.

إضافة مسار في نظام تشغيل المحور ليست الشيء نفسه كإخبار OpenVPN بأي عميل يملك البادئة. ومن دون الارتباط لكل عميل تصل الحزمة إلى واجهة النفق وتُسقط لأن لا قرين يطالب بالوجهة.

أما على جانب الفرع فالحاجة المقابلة هي مسار نحو الشبكات التي ينبغي أن يصلها، مع موجّه LAN يعرف كيف يعيد الحركة إلى الفرع. الملكية على جانب الخادم ومسارات الوجهة على جانب العميل كائنان مختلفان، والنفق العامل يثبت القفزة الأولى فقط. اكتب الاثنين في ملاحظات التسليم الخاصة بالفرع، لأن المهندس التالي سيجد واحدًا منهما فقط.

إثبات أن الفرع هو القرين الذي تظنه

تحقق من الهوية قبل التحقق من الحركة. ينبغي أن يُظهر سجل المحور الاسم الشائع لشهادة الفرع، وينبغي أن يطابق العنوان الذي تلقاه العميل المجموعة أو التخصيص الثابت الذي قصدته. وإذا أظهر السجل اسمًا مختلفًا فالملف يحمل هوية شخص آخر.

ثم تحقق من الارتباط بإرسال طلب واحد من مضيف في الفرع إلى مورد على جانب المحور، وتأكد من نجاحه بعنوان المصدر المتوقع. واختبر وجهة لا يجوز للفرع الوصول إليها وتأكد من فشلها، لأن مسارًا متسامحًا يعمل بالمصادفة ليس سياسة صحيحة.

أخيرًا ألغِ هوية الفرع وتأكد من فشل الاتصال بينما تستمر شهادة المحور نفسها والمواقع الأخرى في العمل. وإذا أدى الإلغاء إلى تعطيل المحور فقد شاركت الأدوار والهويات في مكان ما، وذلك اكتشاف يستحق العودة به إلى التصميم.

الفرع المكتمل هو الذي له هوية موثقة، وملف للعميل فقط، وارتباط قرين بالشبكة على المحور، ومسار عودة مُختبَر. وقلب النص في ملف الخادم لا يمنحك أيًا من ذلك.