Client Export срещу изходящ екземпляр на OpenVPN на pfSense

Инсталирате пакета Client Export, отваряте го и селекторът на сървъри е празен. Естественият извод е, че пакетът е повреден или че pfSense изобщо не може да бъде VPN клиент, и двете са грешни. Селекторът е празен, защото на pfSense не е настроен сървър за отдалечен достъп, а пакетът никога не е бил средството, което кара защитната стена да се обажда навън. Две различни задачи споделят една дума и празният списък е звукът на една от тях, от която се иска нещо, което тя не прави.

Решете кой започва, преди да инсталирате каквото и да е

Задайте един въпрос: кое устройство започва връзката? Ако пътуващ служител се свързва към офисната защитна стена, pfSense е сървърът, а лаптопът на служителя е клиентът. Пакетът, който ви трябва в този случай, подготвя материал за лаптопа, защото лаптопът е страната, която набира.

Ако pfSense се свързва към VPN услугата на някой друг, защитната стена е клиентът, а отдалеченият оператор притежава крайната точка, към която се свързвате.

И двете ситуации използват думата клиент и точно там започва объркването. Думата описва роля в една връзка, а не продуктова категория.

Експортерът е помощник от страна на сървъра

Client Export взема сървър за отдалечен достъп, който вече съществува на pfSense, и произвежда материала, от който се нуждае свързващото се устройство. Той чете настройките, сертификатите и опциите за тунела на този сървър, после ги пакетира за използване другаде.

Затова селекторът изброява само сървъри в режим Remote Access. Без такъв сървър няма какво да се експортира и празният списък е точен отчет, а не дефект. Създайте първо сървъра за отдалечен достъп и селекторът се запълва сам. Тази последователност обърква хората по-често от всяка настройка вътре в пакета.

Справочникът на пакета посочва зависимостта ясно. Прочетете го, преди да приемете, че пакетът може да създаде сървъра вместо вас.

Изходящият екземпляр е отделна конфигурация

Превръщането на pfSense в клиент на друга услуга означава създаване на OpenVPN клиентски екземпляр с крайната точка, порта, протокола, идентификационните данни и доверителния материал на този доставчик. Netgate документира това отделно от пакета за експорт, защото е различен обект в конфигурацията.

Инсталирането на експортера не попълва нито едно от тези полета и никакъв формат за експорт няма да ги генерира вместо вас. Ако доставчикът ви предоставя профил, импортирате или преписвате стойностите му в екземпляра, който създавате.

Дръжте двете конфигурации в отделни мисловни кутии. Едната отговаря на други устройства; другата иска тунел от друг сървър.

Изберете формата за експорт, който устройството може да консумира

Експортите идват като вградени конфигурации, архиви и инсталатори за конкретни клиентски приложения. Избирайте по това какво получаващото устройство наистина може да импортира, а не по това кое изтегляне изглежда най-пълно.

Вграденият файл е удобен за клиент, който приема поставена конфигурация. Архивът носи отделни файлове и подхожда на клиент, който иска директория. Инсталаторът предполага, че определено приложение е допустимо на тази платформа, което е решение за политика не по-малко от техническо. Попитайте кой клиент поддържа получаващият екип, преди да изтеглите нещо.

Някои експорти съдържат сертификати и частни ключове и паролата, която защитава този ключов материал, може да се различава от паролата на потребителския акаунт. Предавайте материала по одобрения канал за записване, вместо да поставяте пълен експорт в тикет като пример за конфигурация.

Между обектите са нужни роли и маршрути, а не пакет

Тунелът до клон е отново различен дизайн. Определете коя крайна точка държи ролята на сървър и коя — ролята на клиент, после дефинирайте маршрутизираните мрежи от двете страни, преди да конфигурирате каквото и да е.

Client Export няма мнение за маршрутите на клона, разрешението за препращане или обратния път, защото подготовката на материал за клиент за отдалечен достъп е цялата му работа.

Запишете първо ролите и списъка с маршрути и въпросът за пакета се решава сам. Сбъркате ли ги, никакъв формат за експорт не спасява дизайна. Същото важи за обратния път: клон, който достига до центъра, но не може да получи отговор, не е работещ тунел.