Чаму капіраванне канфігурацыі сервера OpenVPN у філіял не працуе

Капіраванне працоўнай канфігурацыі сервера, замена пары адрасоў і назва гэтага профілем філіяла звычайна дае злучэнне. Гэта найгоршы вынік, бо філіял потым працуе з няправільнай роляй, выкрывае матэрыял, які не павінен пакідаць хаб, і пакідае сувязь маршруту, якую ніхто не памятае ствараць. Злучэнне хавае тры праблемы адначасова, і тунель уздымаецца раней, чым хтосьці іх праверыць.

Стаўленне да філіяла як да партнёра з уласнай ідэнтычнасцю і сеткавай роляй — гэта тое, што робіць профіль правільным. Выпраўленне не ў лепшай копіі, і рэшта гэтай старонкі пра тое, што кліент павінен насамрэч трымаць.

Дзве ролі, якія выглядаюць як адзін файл

У рэжыме TLS два бакі маюць узаемадапаўняльныя задачы. Адзін бок слухае, трымае сертыфікат і ключ сервера і вырашае, якія кліенты могуць падключацца. Другі бок ініцыюе, правярае слухача і прад'яўляе ўласную ідэнтычнасць.

Файл сервера змяшчае дырэктывы, якія не маюць сэнсу на кліенце: адрас прывязкі і порт для слухання, пул адрасоў для выдачы і часта спіс push для налад, якія кліенты павінны атрымаць. Капіраванне гэтага ў філіял стварае прыладу, якая спрабуе быць і слухачом, і кліентам адначасова.

Прыватны ключ — гэта частка, якая важнейшая за ўсё. Кліент ніколі не павінен насіць прыватны ключ сервера, і яму таксама не патрэбны ключ подпісу CA. Сертыфікат CA — публічны матэрыял даверу; ключ подпісу належыць туды, дзе выдаюцца сертыфікаты.

Што павінен змяшчаць профіль філіяла

Профілю філіяла патрэбны аддалены канцавы пункт і транспарт, давераная ідэнтычнасць сервера, уласны сертыфікат і ключ філіяла, а таксама маршруты і налады DNS, якія філіял насамрэч патрабуе. Больш нічога не абавязкова.

Трымайце ідэнтычнасць філіяла асобна для кожнай пляцоўкі. Два філіялы з адным сертыфікатам азначаюць, што адкліканне аднаго адключае другі, і журналы хаба не могуць іх адрозніць. Ідэнтычнасць на пляцоўку — гэта тое, што робіць працаздольнымі і след аўдыту, і гісторыю адклікання.

Будзьце асцярожныя з працэсамі прылад. Пакет Client Export у pfSense стварае профілі для прыдатных кантэкстаў Remote Access, і яго спіс сервераў уключае толькі серверы, наладжаныя ў рэжыме Remote Access. Сервер «пляцоўка—пляцоўка» іншага рэжыму не з'яўляецца, і гэтая адсутнасць — інфармацыя, а не запрашэнне капіраваць сакрэты сервера.

Калі прылада не экспартуе патрэбны вам профіль, скарыстайцеся яе дакументаваным працэсам кліента «пляцоўка—пляцоўка» або збярыце профіль з падтрыманага прыкладу ўсталяванага выпуску. Экспартуйце рэзервовую копію сервера ў філіял толькі калі плануеце аднаўленне сервера, а гэта не так. Копія таксама нясе прыватны матэрыял хаба, таму перанос яе ў філіял — рашэнне аб абыходжанні з ключамі, а не перадача файла. Трымайце яе на хабе і стварайце ідэнтычнасць кліента там, дзе выдаюцца сертыфікаты.

Сувязь паміж партнёрам і сеткай асобная

Кліент філіяла, які паспяхова падключыўся, усё яшчэ не можа прапускаць трафік для сваёй LAN, пакуль хаб не даведаецца, што гэты партнёр валодае гэтым прэфіксам. Гэтая сувязь жыве на хабе, прывязаная да ідэнтычнасці кліента, і яна асобная ад уласнага маршруту філіяла да аддаленых сетак. Без яе хасты філіяла выглядаюць дасягальнымі ў статыстыцы тунеля і недасягальнымі на практыцы. Журнал хаба — месца, дзе пацвярджаюць, ці была сувязь ужытая.

Дадаць маршрут у аперацыйнай сістэме хаба — не тое ж самае, што сказаць OpenVPN, які кліент валодае прэфіксам. Без сувязі на кожнага кліента пакет дасягае інтэрфейса тунеля і адкідваецца, бо ніводзін партнёр не заяўляе пункт прызначэння.

На баку філіяла адпаведная патрэба — маршрут да сетак, да якіх ён павінен дасягаць, плюс LAN-маршрутызатар, які ведае, як вярнуць трафік у філіял. Валоданне на баку сервера і маршруты прызначэння на баку кліента — розныя аб'екты, і працоўны тунель даказвае толькі першы крок. Запішыце абодва ў нататкі аб перадачы філіяла, бо наступны інжынер знойдзе толькі адзін з іх.

Як даказаць, што філіял — гэта той партнёр, пра якога вы думаеце

Правярайце ідэнтычнасць раней за трафік. Журнал хаба павінен паказваць агульнае імя сертыфіката філіяла, а адрас, які атрымаў кліент, павінен адпавядаць пулу або фіксаванаму прызначэнню, якое вы мелі на ўвазе. Калі журнал паказвае іншае імя, профіль нясе чужую ідэнтычнасць.

Затым праверце сувязь, адправіўшы адзін запыт з хаста філіяла да рэсурсу на баку хаба, і пацвердзіце, што ён паспяховы з чаканым адрасам крыніцы. Праверце пункт прызначэння, да якога філіял не павінен дасягаць, і пацвердзіце, што ён не дасягаецца, бо дазвольны маршрут, які выпадкова працуе, не тое ж самае, што правільная палітыка.

Нарэшце, адклічце ідэнтычнасць філіяла і пацвердзіце, што злучэнне не ўдаецца, пакуль уласны сертыфікат хаба і іншыя пляцоўкі працягваюць працаваць. Калі адкліканне ламае хаб, значыць ролі і ідэнтычнасці дзесьці былі агульнымі, і гэта знаходка, якую варта вярнуць у дызайн.

Завершаны філіял — той, што мае дакументаваную ідэнтычнасць, профіль толькі для кліента, сувязь партнёра з сеткай на хабе і пратэставаны шлях вяртання. Пераварочванне тэксту ў файле сервера не дае нічога з гэтага.