Pam mae copïo ffurfweddiad gweinydd OpenVPN i gangen yn methu

Mae copïo'r ffurfweddiad gweinydd sy'n gweithio, newid cwpl o gyfeiriadau a'i alw'n broffil cangen fel arfer yn creu cysylltiad. Dyma'r canlyniad gwaethaf, oherwydd wedyn mae'r gangen yn rhedeg gyda'r rôl anghywir, yn amlygu deunydd na ddylai adael yr hyb, ac yn gadael cysylltiad llwybr nad oes neb yn cofio ei greu. Mae'r cysylltiad yn cuddio tri phroblem ar unwaith, ac mae'r twnnel yn codi cyn i unrhyw un eu gwirio.

Trin y gangen fel cymar â'i hunaniaeth a'i rôl rwydwaith ei hun yw'r hyn sy'n gwneud y proffil yn gywir. Nid copi gwell yw'r atgyweiriad, ac mae gweddill y dudalen hon yn ymwneud â'r hyn y dylai cleient ei ddal mewn gwirionedd.

Dwy rôl sy'n edrych fel un ffeil

Yn y modd TLS mae gan y ddau gymar waith sy'n ategu ei gilydd. Mae un ochr yn gwrando, yn dal tystysgrif ac allwedd y gweinydd, ac yn penderfynu pa gleientiaid a gaiff gysylltu. Mae'r ochr arall yn dechrau, yn gwirio'r gwrandawr, ac yn cyflwyno ei hunaniaeth ei hun.

Mae ffeil gweinydd yn cynnwys cyfarwyddiadau nad oes synnwyr iddynt ar gleient: cyfeiriad rhwymo a phorth i wrando arno, cronfa o gyfeiriadau i'w dosbarthu, ac yn aml rhestr gwthio ar gyfer gosodiadau y dylai'r cleientiaid eu derbyn. Mae copïo'r rheini i gangen yn cynhyrchu dyfais sy'n ceisio bod yn wrandawr ac yn gleient ar yr un pryd.

Yr allwedd breifat yw'r rhan bwysicaf. Ni chaiff cleient byth gario allwedd breifat y gweinydd, ac nid oes arno angen allwedd lofnodi'r CA chwaith. Mae tystysgrif CA yn ddeunydd ymddiriedaeth cyhoeddus; mae'r allwedd lofnodi'n perthyn i'r man lle cyhoeddir tystysgrifau.

Beth raid i broffil cangen ei gynnwys

Mae proffil cangen angen y pen draw pell a'r cludiant, hunaniaeth ymddiriededig y gweinydd, tystysgrif ac allwedd y gangen ei hun, a'r llwybrau a'r gosodiadau DNS y mae'r gangen eu hangen mewn gwirionedd. Nid oes dim arall yn orfodol.

Cadwch hunaniaeth y gangen ar wahân fesul safle. Mae dwy gangen yn rhannu un dystysgrif yn golygu bod dirymu un yn analluogi'r llall, ac ni all logiau'r hyb eu gwahaniaethu. Hunaniaeth fesul safle yw'r hyn sy'n gwneud y trywydd archwilio a stori'r dirymu ill dau yn gweithio.

Byddwch ofalus gyda llifau gwaith offer. Mae pecyn Client Export pfSense yn cynhyrchu proffiliau ar gyfer cyd-destunau Remote Access cymwys, ac mae ei restr gweinyddwyr yn cynnwys dim ond gweinyddwyr a ffurfweddir mewn modd Remote Access. Nid yw gweinydd safle-i-safle o fodd arall yn ymddangos, ac mae'r absenoldeb hwnnw'n wybodaeth, nid yn wahoddiad i gopïo cyfrinachau'r gweinydd.

Os nad yw'r offer yn allforio'r proffil sydd ei angen arnoch, defnyddiwch ei lif gwaith cleient safle-i-safle dogfennedig neu adeiladwch y proffil o esiampl gefnogol y rhyddhad sydd wedi'i osod. Allforiwch gopi wrth gefn o'r gweinydd i'r gangen dim ond os yw'r cynllun yn adfer gweinydd, ac nid felly y mae. Mae copi wrth gefn hefyd yn cario deunydd preifat yr hyb, felly mae symud un i gangen yn benderfyniad trin allweddi, nid yn drosglwyddiad ffeil. Cadwch ef ar yr hyb a chynhyrchwch hunaniaeth y cleient lle cyhoeddir tystysgrifau.

Mae'r gysylltiad rhwng cymar a rhwydwaith ar wahân

Ni all cleient cangen sy'n cysylltu'n llwyddiannus basio traffig ar gyfer ei LAN nes bod yr hyb yn gwybod bod y cymar hwn yn berchen ar y rhagddodiad hwnnw. Mae'r gysylltiad hwnnw'n byw ar yr hyb, wedi'i allweddu i hunaniaeth y cleient, ac mae ar wahân i lwybr y gangen ei hun tuag at y rhwydweithiau pell. Hebddi, mae gwesteiwyr y gangen yn ymddangos yn gyrhaeddadwy yn ystadegau'r twnnel ac yn anghyrhaeddadwy yn ymarferol. Log yr hyb yw'r man i gadarnhau a osodwyd y gysylltiad.

Nid yw ychwanegu llwybr yn system weithredu'r hyb yr un peth â dweud wrth OpenVPN pa gleient sy'n berchen ar y rhagddodiad. Heb y gysylltiad fesul cleient, mae'r pecyn yn cyrraedd rhyngwyneb y twnnel ac yn cael ei ollwng oherwydd nad oes cymar yn hawlio'r cyrchfan.

Ar ochr y gangen, yr angen cyfatebol yw llwybr tuag at y rhwydweithiau y dylai eu cyrraedd, ynghyd â llwybrydd LAN sy'n gwybod sut i ddychwelyd traffig i'r gangen. Mae perchnogaeth ar ochr y gweinydd a llwybrau cyrchfan ar ochr y cleient yn wrthrychau gwahanol, ac mae twnnel sy'n gweithio ond yn profi'r naid gyntaf. Ysgrifennwch y ddau yn nodiadau trosglwyddo'r gangen, oherwydd dim ond un ohonynt y bydd y peiriannydd nesaf yn ei chael.

Profi mai'r gangen yw'r cymar yr ydych yn meddwl

Gwiriwch hunaniaeth cyn gwirio traffig. Dylai log yr hyb ddangos enw cyffredin tystysgrif y gangen, a dylai'r cyfeiriad a gafodd y cleient gyd-fynd â'r gronfa neu'r aseiniad sefydlog yr oeddech yn bwriadu ei gael. Os yw'r log yn dangos enw gwahanol, mae'r proffil yn cario hunaniaeth rhywun arall.

Yna gwiriwch y gysylltiad drwy anfon un cais o westeiwr cangen i adnodd ar ochr yr hyb, a chadarnhewch ei fod yn llwyddo gyda'r cyfeiriad ffynhonnell disgwyliedig. Profwch gyrchfan na chaiff y gangen ei chyrraedd a chadarnhewch ei fod yn methu, oherwydd nid yw llwybr caniataol sy'n digwydd gweithio yr un peth â pholisi cywir.

Yn olaf, dirymwch hunaniaeth y gangen a chadarnhewch fod y cysylltiad yn methu tra bod tystysgrif yr hyb ei hun a safleoedd eraill yn parhau i weithio. Os yw'r dirymu'n torri'r hyb, roedd rolau a hunaniaethau wedi'u rhannu yn rhywle, a dyna'r darganfyddiad sy'n werth ei fynd yn ôl i'r dyluniad.

Cangen orffenedig yw un â hunaniaeth ddogfennedig, proffil cleient yn unig, cysylltiad cymar-a-rhwydwaith ar yr hyb, a llwybr dychwelyd wedi'i brofi. Nid yw gwrthdroi testun mewn ffeil gweinydd yn rhoi'r un ohonynt i chi.