Client Export enfront d’una instància OpenVPN de sortida al pfSense

Instal·leu el paquet Client Export, l’obriu i el selector de servidors és buit. La conclusió natural és que el paquet està espatllat o que pfSense no pot fer de client VPN, i totes dues són errònies. El selector és buit perquè pfSense no té cap servidor d’accés remot configurat, i el paquet mai no va ser l’eina que fa que el tallafoc marqui cap a fora. Dues feines diferents comparteixen una paraula, i la llista buida és el so d’una d’elles a qui es demana una cosa que no fa.

Decidiu qui inicia abans d’instal·lar res

Feu una pregunta: quin dispositiu inicia la connexió? Si un empleat viatger es connecta al tallafoc de l’oficina, pfSense és el servidor i l’ordinador portàtil de l’empleat és el client. El paquet que necessiteu en aquest cas prepara material per al portàtil, perquè el portàtil és el costat que marca.

Si pfSense es connecta al servei VPN d’una altra persona, el tallafoc és el client i l’operador remot posseeix el punt final al qual marqueu.

Totes dues situacions fan servir la paraula client, i aquí comença la confusió. La paraula descriu un paper en una connexió, no una categoria de producte.

L’exportador és un auxiliar del costat del servidor

Client Export agafa un servidor d’accés remot que ja existeix al pfSense i produeix el material que necessita un dispositiu que es connecta. Llegeix la configuració, els certificats i les opcions de túnel d’aquell servidor, i després ho empaqueta per fer-ho servir en un altre lloc.

Per això el selector només llista servidors en mode Remote Access. Sense aquest servidor no hi ha res a exportar, i la llista buida és un informe exacte i no cap avaria. Creeu primer el servidor d’accés remot i el selector s’omple sol. Aquest ordre desconcerta la gent més sovint que qualsevol paràmetre del paquet.

La referència del paquet exposa la dependència amb claredat. Llegiu-la abans de suposar que el paquet pot crear el servidor per vosaltres.

La instància de sortida és una configuració a part

Fer que pfSense sigui client d’un altre servei vol dir crear una OpenVPN instància de client amb el punt final, el port, el protocol, les credencials i el material de confiança d’aquell proveïdor. Netgate documenta això per separat del paquet d’exportació, perquè és un objecte diferent dins la configuració.

Instal·lar l’exportador no omple cap d’aquests camps, i cap format d’exportació no els generarà per vosaltres. Si el vostre proveïdor us dona un perfil, n’importeu o transcriviu els valors a la instància que creeu.

Manteniu les dues configuracions en caixes mentals separades. Una respon a altres dispositius; l’altra demana un túnel a un altre servidor.

Trieu el format d’exportació que el dispositiu pugui consumir

Les exportacions arriben com a configuracions en línia, arxius empaquetats i instal·ladors per a aplicacions client concretes. Trieu segons què pot importar realment el dispositiu receptor, no segons quina descàrrega sembla més completa.

Un fitxer en línia és convenient per a un client que accepta configuració enganxada. Un paquet porta fitxers separats i s’adiu amb un client que vol un directori. Un instal·lador pressuposa que una aplicació concreta és acceptable en aquella plataforma, cosa que és una decisió de política tant com una de tècnica. Pregunteu quin client admet l’equip receptor abans de baixar res.

Algunes exportacions contenen certificats i claus privades, i la contrasenya que protegeix aquest material de clau pot diferir de la contrasenya del compte de l’usuari. Lliureu el material pel canal d’inscripció aprovat en lloc d’enganxar una exportació completa en un tiquet com a mostra de configuració.

El lloc a lloc necessita papers i rutes, no un paquet

El túnel d’una branca és un disseny diferent. Identifiqueu quin punt final té el paper de servidor i quin el de client, i després definiu les xarxes enrutades als dos costats abans de configurar res.

Client Export no opina sobre les rutes de la branca, el permís de reenviament o el camí de tornada, perquè preparar material de client d’accés remot és tota la seva feina.

Poseu per escrit primer els papers i la llista de rutes, i la qüestió del paquet es respon sola. Si us equivoqueu, cap format d’exportació no salva el disseny. El mateix val per al camí de tornada: una branca que arriba al centre i no pot rebre resposta no és un túnel que funcioni.