Per què falla copiar la configuració del servidor OpenVPN a una sucursal

Copiar la configuració del servidor que funciona, canviar un parell d'adreces i anomenar-ho perfil de sucursal sol produir una connexió. És el pitjor resultat, perquè la sucursal passa a funcionar amb el paper equivocat, exposa material que no hauria de sortir del concentrador i deixa una associació de ruta que ningú no recorda haver creat. La connexió amaga tres problemes alhora, i el túnel s'aixeca abans que ningú els comprovi.

Tractar la sucursal com un igual amb identitat i paper de xarxa propis és el que fa correcte el perfil. La solució no és una còpia millor, i la resta d'aquesta pàgina tracta del que un client hauria de tenir de debò.

Dos papers que semblen un sol fitxer

En mode TLS els dos iguals tenen feines complementàries. Un costat escolta, guarda el certificat i la clau del servidor i decideix quins clients es poden connectar. L'altre costat inicia, verifica l'oient i presenta la seva pròpia identitat.

Un fitxer de servidor conté directrius que no tenen cap sentit en un client: una adreça d'escolta i un port, un conjunt d'adreces per repartir i sovint una llista d'empenta per a paràmetres que els clients haurien de rebre. Copiar-ho a una sucursal produeix un dispositiu que intenta ser alhora oient i client.

La clau privada és la part que més importa. Un client no ha de portar mai la clau privada del servidor, i tampoc no necessita la clau de signatura de la CA. Un certificat de CA és material públic de confiança; la clau de signatura pertany allà on s'emeten els certificats.

Què ha de contenir un perfil de sucursal

Un perfil de sucursal necessita el punt final remot i el transport, la identitat de servidor de confiança, el certificat i la clau propis de la sucursal, i les rutes i paràmetres DNS que la sucursal requereix de debò. Res més no és obligatori.

Mantingueu la identitat de la sucursal separada per lloc. Dues sucursals que comparteixen un certificat volen dir que revocar-ne una desactiva l'altra, i els registres del concentrador no les poden distingir. Una identitat per lloc és el que fa funcionar tant el rastre d'auditoria com la història de revocació.

Aneu amb compte amb els fluxos dels aparells. El paquet Client Export de pfSense genera perfils per als contextos de Remote Access admesos, i la seva llista de servidors només inclou servidors configurats en un mode Remote Access. Un servidor lloc a lloc d'un altre mode no hi apareix, i aquesta absència és informació, no una invitació a copiar els secrets del servidor.

Si l'aparell no exporta el perfil que necessiteu, feu servir el seu flux de client lloc a lloc documentat o construïu el perfil a partir de l'exemple admès de la versió instal·lada. Exporteu una còpia de seguretat del servidor a la sucursal només si el pla és restaurar un servidor, cosa que no és el cas. Una còpia també porta material privat del concentrador, així que moure'n una a una sucursal és una decisió de gestió de claus, no una transferència de fitxer. Manteniu-la al concentrador i genereu la identitat del client allà on s'emeten els certificats.

L'associació entre igual i xarxa és a part

Un client de sucursal que es connecta amb èxit encara no pot passar trànsit per a la seva LAN fins que el concentrador sàpiga que aquest igual posseeix aquest prefix. Aquesta associació viu al concentrador, lligada a la identitat del client, i és a part de la ruta pròpia de la sucursal cap a les xarxes remotes. Sense ella, els equips de la sucursal semblen accessibles a les estadístiques del túnel i són inaccessibles a la pràctica. El registre del concentrador és el lloc on confirmar si l'associació s'ha aplicat.

Afegir una ruta al sistema operatiu del concentrador no és el mateix que dir a OpenVPN quin client posseeix el prefix. Sense l'associació per client, el paquet arriba a la interfície del túnel i es descarta perquè cap igual reclama la destinació.

Al costat de la sucursal, la necessitat corresponent és una ruta cap a les xarxes que ha d'assolir, més un encaminador de LAN que sàpiga tornar el trànsit a la sucursal. La propietat al costat del servidor i les rutes de destinació al costat del client són objectes diferents, i un túnel que funciona només demostra el primer salt. Anoteu tots dos a les notes de traspàs de la sucursal, perquè el proper enginyer només en trobarà un.

Demostrar que la sucursal és l'igual que us penseu

Verifiqueu la identitat abans de verificar el trànsit. El registre del concentrador hauria de mostrar el nom comú del certificat de la sucursal, i l'adreça que ha rebut el client hauria de coincidir amb el conjunt o l'assignació fixa que volíeu. Si el registre mostra un nom diferent, el perfil porta la identitat d'una altra persona.

Després verifiqueu l'associació enviant una petició des d'un equip de la sucursal a un recurs del costat del concentrador i confirmeu que té èxit amb l'adreça d'origen esperada. Proveu una destinació a la qual la sucursal no ha d'arribar i confirmeu que falla, perquè una ruta permissiva que funciona per casualitat no és el mateix que una política correcta.

Finalment, revoqueu la identitat de la sucursal i confirmeu que la connexió falla mentre el certificat propi del concentrador i els altres llocs continuen funcionant. Si la revocació trenca el concentrador, els papers i les identitats s'han compartit en algun lloc, i aquesta és la troballa que val la pena tornar al disseny.

Una sucursal acabada és la que té una identitat documentada, un perfil només de client, una associació entre igual i xarxa al concentrador i un camí de tornada provat. Invertir el text d'un fitxer de servidor no us en dona cap.