Client Export versus odchozí instance OpenVPN na pfSense

Nainstalujete balíček Client Export, otevřete jej a výběr serveru je prázdný. Přirozený závěr je, že balíček je rozbitý nebo že pfSense vůbec nemůže být klientem VPN, a obojí je špatně. Výběr je prázdný, protože v pfSense není nakonfigurován server pro vzdálený přístup, a balíček nikdy nebyl nástrojem, který by nutil firewall vytáčet ven. Dvě různé práce sdílejí slovo a prázdný seznam je zvuk jedné z nich, po níž se chce něco, co nedělá.

Rozhodněte, kdo začíná, dřív než cokoli nainstalujete

Položte si jednu otázku: které zařízení zahajuje spojení? Pokud se cestující zaměstnanec připojuje k firemnímu firewallu, pfSense je server a zaměstnancův notebook je klient. Balíček, který v takovém případě potřebujete, připravuje materiál pro notebook, protože notebook je strana, která vytáčí.

Pokud se pfSense připojuje k VPN službě někoho jiného, firewall je klient a vzdálený operátor vlastní koncový bod, ke kterému vytáčíte.

Obě situace používají slovo klient a právě tam začíná zmatek. Slovo popisuje roli v jednom spojení, ne kategorii produktu.

Exportér je pomocník na straně serveru

Client Export vezme server pro vzdálený přístup, který v pfSense už existuje, a vytvoří materiál, který připojované zařízení potřebuje. Přečte nastavení tohoto serveru, certifikáty a možnosti tunelu a pak je zabalí k použití jinde.

Proto výběr uvádí jen servery v režimu Remote Access. Bez takového serveru není co exportovat a prázdný seznam je přesná zpráva, nikoli závada. Nejprve vytvořte server pro vzdálený přístup a výběr se sám naplní. Toto pořadí lidi plete častěji než kterékoli nastavení uvnitř balíčku.

Referenční příručka balíčku tuto závislost jasně uvádí. Přečtěte si ji, než budete předpokládat, že balíček dokáže server vytvořit za vás.

Odchozí instance je samostatná konfigurace

Udělat z pfSense klienta jiné služby znamená vytvořit OpenVPN klientskou instanci s koncovým bodem, portem, protokolem, přihlašovacími údaji a materiálem důvěry daného poskytovatele. Netgate to dokumentuje odděleně od exportního balíčku, protože jde o jiný objekt v konfiguraci.

Instalace exportéru nevyplní žádné z těchto polí a žádný exportní formát je za vás nevygeneruje. Pokud váš poskytovatel dodá profil, naimportujete nebo přepíšete jeho hodnoty do instance, kterou vytváříte.

Udržujte obě konfigurace v oddělených myšlenkových krabicích. Jedna odpovídá jiným zařízením; druhá žádá tunel od jiného serveru.

Zvolte exportní formát, který zařízení dokáže zpracovat

Exporty přicházejí jako vložené konfigurace, zabalené archivy a instalátory pro konkrétní klientské aplikace. Vybírejte podle toho, co přijímající zařízení skutečně dokáže importovat, ne podle toho, který soubor ke stažení vypadá nejúplněji.

Vložený soubor je vhodný pro klienta, který přijímá vloženou konfiguraci. Archiv nese samostatné soubory a hodí se pro klienta, který chce adresář. Instalátor předpokládá, že konkrétní aplikace je na dané platformě přijatelná, což je politické rozhodnutí stejně jako technické. Než cokoli stáhnete, zeptejte se, kterého klienta přijímající tým podporuje.

Některé exporty obsahují certifikáty a soukromé klíče a heslo chránící tento klíčový materiál se může lišit od hesla k uživatelskému účtu. Předávejte materiál schváleným kanálem pro zápis, místo abyste celý export vkládali do tiketu jako ukázku konfigurace.

Site-to-site potřebuje role a trasy, ne balíček

Tunel pobočky je zase jiný návrh. Určete, který koncový bod má roli serveru a který roli klienta, a potom před konfigurací definujte směrované sítě na obou stranách.

Client Export nemá názor na trasy pobočky, povolení předávání ani zpětnou cestu, protože příprava materiálu klienta vzdáleného přístupu je celá jeho práce.

Nejprve si sepište role a seznam tras a otázka balíčku se vyřeší sama. Když je spletete, žádný exportní formát návrh nezachrání. Totéž platí pro zpětnou cestu: pobočka, která dosáhne na centrum a nemůže dostat odpověď, není funkční tunel.