Proč kopírování konfigurace serveru OpenVPN do pobočky nefunguje

Zkopírovat fungující konfiguraci serveru, vyměnit pár adres a nazvat to profilem pobočky obvykle vytvoří spojení. To je nejhorší výsledek, protože pobočka pak běží se špatnou rolí, vystavuje materiál, který by neměl opustit centrum, a zanechává asociaci trasy, o níž si nikdo nepamatuje, že ji vytvořil. Spojení skrývá tři problémy najednou a tunel naskočí dřív, než je někdo zkontroluje.

Považovat pobočku za protějšek s vlastní identitou a síťovou rolí je to, co dělá profil správným. Oprava není lepší kopie a zbytek této stránky je o tom, co má klient skutečně držet.

Dvě role, které vypadají jako jeden soubor

V režimu TLS mají obě strany doplňující se úlohy. Jedna strana naslouchá, drží certifikát a klíč serveru a rozhoduje, kteří klienti se smějí připojit. Druhá strana iniciuje, ověřuje naslouchajícího a předkládá vlastní identitu.

Soubor serveru obsahuje direktivy, které na klientovi nedávají smysl: vazební adresu a port pro naslouchání, fond adres k rozdávání a často seznam push pro nastavení, která mají klienti dostat. Jejich zkopírování do pobočky vytvoří zařízení, které se snaží být zároveň naslouchajícím i klientem.

Soukromý klíč je část, na které záleží nejvíc. Klient nikdy nesmí nést soukromý klíč serveru a nepotřebuje ani podpisový klíč CA. Certifikát CA je veřejný materiál důvěry; podpisový klíč patří tam, kde se certifikáty vydávají.

Co musí profil pobočky obsahovat

Profil pobočky potřebuje vzdálený koncový bod a přenos, důvěryhodnou identitu serveru, vlastní certifikát a klíč pobočky a trasy a nastavení DNS, které pobočka skutečně vyžaduje. Nic dalšího není povinné.

Držte identitu pobočky oddělenou pro každé místo. Dvě pobočky sdílející jeden certifikát znamenají, že odvolání jednoho vypne druhou, a protokoly centra je nedokážou rozlišit. Identita pro každé místo je to, co umožňuje fungování auditorské stopy i příběhu odvolání.

Buďte opatrní u postupů na zařízeních. Balíček Client Export v pfSense vytváří profily pro vhodné kontexty Remote Access a jeho seznam serverů obsahuje jen servery nastavené v režimu Remote Access. Server typu místo-místo jiného režimu se neobjeví, a tato nepřítomnost je informace, ne pozvánka ke kopírování tajemství serveru.

Pokud zařízení neexportuje profil, který potřebujete, použijte jeho zdokumentovaný postup klienta místo-místo nebo profil sestavte z podporovaného příkladu nainstalovaného vydání. Exportujte zálohu serveru do pobočky jen tehdy, pokud je plánem obnovit server, což není. Záloha nese i soukromý materiál centra, takže přesun do pobočky je rozhodnutí o zacházení s klíči, ne přenos souboru. Držte ji v centru a identitu klienta vytvořte tam, kde se certifikáty vydávají.

Asociace protějšku se sítí je oddělená

Klient pobočky, který se úspěšně připojí, stále nemůže propouštět provoz pro svou LAN, dokud centrum neví, že tomuto protějšku patří tento prefix. Tato asociace žije v centru, svázaná s identitou klienta, a je oddělená od vlastní trasy pobočky k vzdáleným sítím. Bez ní se hostitelé pobočky ve statistikách tunelu jeví dostupní a v praxi dostupní nejsou. Protokol centra je místo, kde se potvrzuje, zda se asociace uplatnila.

Přidat trasu v operačním systému centra není totéž jako říct OpenVPN, který klient prefix vlastní. Bez asociace pro každého klienta paket dorazí na rozhraní tunelu a je zahozen, protože žádný protějšek si cíl nenárokuje.

Na straně pobočky je odpovídající potřebou trasa k sítím, kterých má dosáhnout, plus LAN směrovač, který umí vrátit provoz do pobočky. Vlastnictví na straně serveru a cílové trasy na straně klienta jsou odlišné objekty a fungující tunel dokazuje jen první skok. Zapište obojí do předávacích poznámek pobočky, protože příští inženýr najde jen jedno z toho.

Jak dokázat, že pobočka je ten protějšek, o kterém si myslíte

Ověřte identitu dřív než provoz. Protokol centra má ukazovat běžný název certifikátu pobočky a adresa, kterou klient dostal, má odpovídat fondu nebo pevnému přiřazení, které jste zamýšleli. Pokud protokol ukazuje jiné jméno, profil nese identitu někoho jiného.

Potom ověřte asociaci odesláním jednoho požadavku z hostitele v pobočce na zdroj na straně centra a potvrďte, že uspěje s očekávanou zdrojovou adresou. Otestujte cíl, kam pobočka nesmí dosáhnout, a potvrďte, že selže, protože povolující trasa, která náhodou funguje, není totéž jako správná politika.

Nakonec odvolejte identitu pobočky a potvrďte, že spojení selže, zatímco vlastní certifikát centra a ostatní místa dál fungují. Pokud odvolání centrum rozbije, role a identity se někde sdílely, a to je zjištění, které stojí za vrácení do návrhu.

Hotová pobočka je ta s zdokumentovanou identitou, profilem jen pro klienta, asociací protějšku se sítí v centru a otestovanou zpáteční cestou. Obrácení textu v souboru serveru vám nedá nic z toho.