OpenVPN serverinin konfiqurasiyasını filiala köçürmək niyə uğursuz olur

İşləyən server konfiqurasiyasını kopyalamaq, bir neçə ünvanı dəyişmək və buna filial profili demək adətən bağlantı verir. Bu, ən pis nəticədir, çünki filial sonra səhv rolla işləyir, hubdan çıxmamalı olan materialı açıq edir və heç kimin yaratdığını xatırlamadığı marşrut əlaqəsi qoyub gedir. Bağlantı eyni anda üç problemi gizlədir və tunel heç kim onları yoxlamadan qalxır.

Filiala öz şəxsiyyəti və şəbəkə rolu olan peer kimi baxmaq profili düzgün edən şeydir. Düzəliş daha yaxşı kopya deyil və bu səhifənin qalanı müştərinin əslində nə saxlamalı olduğundan bəhs edir.

Bir fayl kimi görünən iki rol

TLS rejimində iki peer bir-birini tamamlayan işlər görür. Bir tərəf dinləyir, server sertifikatını və açarını saxlayır və hansı müştərilərin qoşula biləcəyini qərarlaşdırır. Digər tərəf bağlantını başladır, dinləyicini yoxlayır və öz şəxsiyyətini təqdim edir.

Server faylında müştəridə mənası olmayan direktivlər var: dinləmək üçün bind ünvanı və port, paylamaq üçün ünvan hovuzu və çox vaxt müştərilərin almalı olduğu parametrlər üçün push siyahısı. Bunları filiala kopyalamaq eyni zamanda həm dinləyici, həm də müştəri olmağa çalışan cihaz yaradır.

Ən çox əhəmiyyətli hissə şəxsi açardır. Müştəri heç vaxt serverin şəxsi açarını daşımamalıdır və CA-nın imzalama açarına da ehtiyacı yoxdur. CA sertifikatı açıq etimad materialıdır; imzalama açarı sertifikatların verildiyi yerə aiddir.

Filial profilində nə olmalıdır

Filial profilinə uzaq endpoint və nəqliyyat, etibarlı server şəxsiyyəti, filialın öz sertifikatı və açarı, həmçinin filialın həqiqətən tələb etdiyi marşrutlar və DNS parametrləri lazımdır. Başqa heç nə məcburi deyil.

Filial şəxsiyyətini hər sayt üçün ayrı saxlayın. İki filialın bir sertifikatı paylaşması o deməkdir ki, birini ləğv etmək digərini söndürür və hub jurnalları onları ayıra bilmir. Sayt üzrə şəxsiyyət həm audit izini, həm də ləğvetmə hekayəsini işlədən şeydir.

Cihaz iş axınları ilə ehtiyatlı olun. pfSense-in Client Export paketi uyğun Remote Access kontekstləri üçün profillər hazırlayır və onun server siyahısı yalnız Remote Access rejimində qurulmuş serverləri əhatə edir. Başqa rejimdə olan sayt-sayt serveri görünmür və bu yoxluq məlumatdır, serverin sirlərini kopyalamaq üçün dəvət deyil.

Cihaz lazım olan profili ixrac etmirsə, onun sənədləşdirilmiş sayt-sayt müştəri iş axınından istifadə edin və ya profili quraşdırılmış buraxılışın dəstəklənən nümunəsindən qurun. Server ehtiyat nüsxəsini filiala yalnız server bərpa etmək planı varsa ixrac edin, halbuki belə plan yoxdur. Ehtiyat nüsxə hubun şəxsi materialını da daşıyır, ona görə onu filiala köçürmək açar idarəetməsi qərarıdır, fayl ötürülməsi deyil. Onu hubda saxlayın və müştəri şəxsiyyətini sertifikatların verildiyi yerdə yaradın.

Peer-şəbəkə əlaqəsi ayrıdır

Uğurla qoşulan filial müştərisi hələ də öz LAN-ı üçün trafiki ötürə bilmir, ta ki hub bu peerin həmin prefiksə sahib olduğunu bilənə qədər. Bu əlaqə hubda yaşayır, müştərinin şəxsiyyətinə bağlanır və filialın uzaq şəbəkələrə doğru öz marşrutundan ayrıdır. Onsuz filialın hostları tunelin statistikasında əlçatan, praktikada isə əlçatmaz görünür. Hub jurnalı əlaqənin tətbiq olunub-olunmadığını təsdiqləmək üçün yerdir.

Hubun əməliyyat sistemində marşrut əlavə etmək OpenVPN-ə hansı müştərinin prefiksə sahib olduğunu deməklə eyni şey deyil. Hər müştəri üzrə əlaqə olmadan paket tunel interfeysinə çatır və heç bir peer təyinatı iddia etmədiyi üçün atılır.

Filial tərəfində uyğun ehtiyac çatmalı olduğu şəbəkələrə doğru marşrut və trafiki filiala qaytarmağı bilən LAN marşrutlaşdırıcısıdır. Server tərəfində sahiblik və müştəri tərəfində təyinat marşrutları ayrı obyektlərdir və işləyən tunel yalnız ilk addımı sübut edir. Hər ikisini filialın təhvil qeydlərinə yazın, çünki növbəti mühəndis onlardan yalnız birini tapacaq.

Filialın düşündüyünüz peer olduğunu sübut etmək

Trafiki yoxlamadan əvvəl şəxsiyyəti yoxlayın. Hub jurnalı filial sertifikatının ümumi adını göstərməlidir və müştərinin aldığı ünvan nəzərdə tutduğunuz hovuza və ya sabit təyinatla uyğun olmalıdır. Jurnal başqa ad göstərirsə, profil başqasının şəxsiyyətini daşıyır.

Sonra əlaqəni filial hostundan hub tərəfindəki resursa bir sorğu göndərməklə yoxlayın və onun gözlənilən mənbə ünvanı ilə uğur qazandığını təsdiqləyin. Filialın çatmamalı olduğu təyinatı sınayın və onun uğursuz olduğunu təsdiqləyin, çünki təsadüfən işləyən icazəli marşrut düzgün siyasətlə eyni şey deyil.

Nəhayət, filial şəxsiyyətini ləğv edin və hubun öz sertifikatı ilə digər saytlar işləyərkən bağlantının uğursuz olduğunu təsdiqləyin. Ləğvetmə hubu sındırırsa, rollar və şəxsiyyətlər haradasa paylaşılıb və bu, dizayna geri aparılmağa dəyər bir tapıntıdır.

Bitmiş filial sənədləşdirilmiş şəxsiyyəti, yalnız müştəri üçün profil, hubda peer-şəbəkə əlaqəsi və sınaqdan keçirilmiş qayıdış yolu olan filialdır. Server faylında mətni tərsinə çevirmək sizə bunlardan heç birini vermir.