Client Export супраць знешняга экземпляра OpenVPN на pfSense

Вы ўсталёўваеце пакет Client Export, адкрываеце яго, і выбар сервера пусты. Напрыклад, выснова: пакет зламаны або pfSense наогул не можа быць VPN-кліентам, і абодва варыянты памылковыя. Выбар пусты таму, што на pfSense не наладжаны сервер аддаленага доступу, а пакет ніколі не быў сродкам, які прымушае брандмаўэр звяртацца вонкі. Дзве розныя задачы дзеляць адно слова, і пусты спіс — гэта гук адной з іх, у якой просяць тое, чаго яна не робіць.

Вызначце, хто пачынае, перш чым што-небудзь усталёўваць

Задайце адно пытанне: якая прылада пачынае злучэнне? Калі супрацоўнік у паездцы падключаецца да офіснага брандмаўэра, pfSense — гэта сервер, а ноўтбук супрацоўніка — кліент. Пакет, які вам патрэбны ў гэтым выпадку, рыхтуе матэрыял для ноўтбука, бо менавіта ноўтбук набірае.

Калі pfSense падключаецца да чужой службы VPN, брандмаўэр з’яўляецца кліентам, а аддалены аператар валодае канчатковым пунктам, да якога вы падключаецеся.

У абодвух выпадках ужываецца слова кліент, і менавіта тут пачынаецца блытаніна. Слова апісвае ролю ў адным злучэнні, а не катэгорыю прадуктаў.

Экспартэр — гэта дапаможнік на баку сервера

Client Export бярэ сервер аддаленага доступу, які ўжо існуе на pfSense, і стварае матэрыял, патрэбны прыладзе, што падключаецца. Ён чытае налады гэтага сервера, сертыфікаты і параметры тунеля, а затым пакетуе іх для выкарыстання ў іншым месцы.

Менавіта таму выбар паказвае толькі серверы ў рэжыме Remote Access. Без такога сервера няма чаго экспартаваць, і пусты спіс — гэта дакладная справаздача, а не збой. Стварыце спачатку сервер аддаленага доступу, і выбар запоўніцца сам. Гэты парадак блытае людзей часцей, чым любая налада ўнутры пакета.

Даведка па пакеце проста паказвае гэтую залежнасць. Прачытайце яе, перш чым меркаваць, што пакет можа стварыць сервер за вас.

Знешні экземпляр — гэта асобная канфігурацыя

Зрабіць pfSense кліентам іншай службы азначае стварыць OpenVPN-экземпляр кліента з канчатковым пунктам, портам, пратаколам, уліковымі данымі і давераным матэрыялам гэтага правайдэра. Netgate дакументуе гэта асобна ад пакета экспарту, бо гэта іншы аб’ект у канфігурацыі.

Усталяванне экспартэра не запоўніць ніводнага з гэтых палёў, і ніводны фармат экспарту не згенеруе іх для вас. Калі ваш правайдэр дае профіль, вы імпартуеце або пераносіце яго значэнні ў створаны вамі экземпляр.

Трымайце дзве канфігурацыі ў асобных разумовых скрынях. Адна адказвае іншым прыладам; другая просіць тунель у іншага сервера.

Выберыце фармат экспарту, які можа спажыць прылада

Экспарт бывае ў выглядзе ўбудаваных канфігурацый, спакаваных архіваў і ўсталёўшчыкаў для пэўных кліенцкіх праграм. Выбірайце па тым, што прылада-атрымальнік сапраўды можа імпартаваць, а не па тым, якое спампоўванне выглядае найбольш поўным.

Убудаваны файл зручны для кліента, які прымае ўстаўленую канфігурацыю. Архіў нясе асобныя файлы і падыходзіць кліенту, якому патрэбны каталог. Усталёўшчык мяркуе, што пэўная праграма дапушчальная на гэтай платформе, а гэта палітычнае рашэнне не менш за тэхнічнае. Спытайце, якога кліента падтрымлівае каманда-атрымальнік, перш чым што-небудзь спампоўваць.

Некаторыя экспарты змяшчаюць сертыфікаты і прыватныя ключы, а пароль, які ахоўвае гэты ключавы матэрыял, можа адрознівацца ад пароля ўліковага запісу карыстальніка. Перадавайце матэрыял праз зацверджаны канал рэгістрацыі, а не ўстаўляйце поўны экспарт у заяўку як узор канфігурацыі.

Паміж пляцоўкамі патрэбныя ролі і маршруты, а не пакет

Тунель філіяла — гэта зноў іншы дызайн. Вызначце, які канчатковы пункт выконвае ролю сервера, а які — ролю кліента, затым вызначце маршрутызаваныя сеткі з абодвух бакоў, перш чым нешта наладжваць.

Client Export не мае меркавання пра маршруты філіяла, дазвол на перасылку або зваротны шлях, бо падрыхтоўка матэрыялу кліента аддаленага доступу — гэта ўся яго праца.

Спачатку запішыце ролі і спіс маршрутаў, і пытанне пра пакет адкажа само сябе. Калі памыліцеся, ніводны фармат экспарту не ўратуе дызайн. Тое ж датычыцца зваротнага шляху: філіял, які дасягае цэнтра, але яму нельга адказаць, — гэта не працоўны тунель.