Client Export kontra en udgående OpenVPN-instans på pfSense

Du installerer pakken Client Export, åbner den, og servervælgeren er tom. Den naturlige konklusion er, at pakken er i stykker, eller at pfSense slet ikke kan fungere som VPN-klient, og begge er forkerte. Vælgeren er tom, fordi pfSense ikke har nogen fjernadgangsserver konfigureret, og pakken var aldrig værktøjet til at få firewallingen til at ringe ud. To forskellige opgaver deler et ord, og den tomme liste er lyden af, at en af dem bliver bedt om noget, den ikke gør.

Beslut hvem der starter, før du installerer noget

Stil ét spørgsmål: hvilken enhed starter forbindelsen? Hvis en medarbejder på rejse forbinder til kontorets firewall, er pfSense serveren, og medarbejderens bærbare computer er klienten. Den pakke, du har brug for i det tilfælde, forbereder materiale til den bærbare, fordi den bærbare er den side, der ringer op.

Hvis pfSense forbinder ud til en andens VPN-tjeneste, er firewallingen klienten, og den eksterne operatør ejer det endepunkt, du ringer til.

Begge situationer bruger ordet klient, og det er her forvirringen starter. Ordet beskriver en rolle i én forbindelse, ikke en produktkategori.

Eksportøren er en hjælper på serversiden

Client Export tager en fjernadgangsserver, der allerede findes på pfSense, og producerer det materiale, en tilsluttende enhed har brug for. Den læser serverens indstillinger, certifikater og tunnelmuligheder og pakker dem derefter til brug andre steder.

Derfor viser vælgeren kun servere i Remote Access-tilstand. Uden sådan en server er der intet at eksportere, og den tomme liste er en præcis rapport snarere end en fejl. Opret først fjernadgangsserveren, og vælgeren udfylder sig selv. Den rækkefølge forvirrer folk oftere end nogen indstilling inde i pakken.

Pakkevejledningen siger afhængigheden rent ud. Læs den, før du antager, at pakken kan oprette serveren for dig.

Den udgående instans er en separat konfiguration

At gøre pfSense til klient hos en anden tjeneste betyder at oprette en OpenVPN klientinstans med den udbyders endepunkt, port, protokol, legitimationsoplysninger og tillidsmateriale. Netgate dokumenterer det adskilt fra eksportpakken, fordi det er et andet objekt i konfigurationen.

Installation af eksportøren udfylder ingen af disse felter, og intet eksportformat genererer dem for dig. Hvis din udbyder leverer en profil, importerer eller overfører du dens værdier til den instans, du opretter.

Hold de to konfigurationer i adskilte mentale kasser. Den ene svarer andre enheder; den anden beder en anden server om en tunnel.

Vælg det eksportformat, enheden kan bruge

Eksporter findes som inline-konfigurationer, samlede arkiver og installationsprogrammer til bestemte klientprogrammer. Vælg efter, hvad den modtagende enhed faktisk kan importere, ikke efter hvilken download der ser mest komplet ud.

En inline-fil er praktisk til en klient, der accepterer indsat konfiguration. Et arkiv bærer separate filer og passer til en klient, der vil have en mappe. Et installationsprogram forudsætter, at et bestemt program er acceptabelt på den platform, hvilket er en politikbeslutning lige så meget som en teknisk. Spørg, hvilken klient det modtagende team understøtter, før du downloader noget.

Nogle eksporter indeholder certifikater og private nøgler, og adgangskoden, der beskytter dette nøglemateriale, kan afvige fra brugerens kontoadgangskode. Lever materialet gennem den godkendte tilmeldingskanal i stedet for at indsætte en fuld eksport i en sag som konfigurationseksempel.

Site-to-site kræver roller og ruter, ikke en pakke

En filialtunnel er igen et anderledes design. Afgør, hvilket endepunkt der har serverrollen, og hvilket der har klientrollen, og definer derefter de routed netværk på begge sider, før du konfigurerer noget.

Client Export har ingen mening om filialens ruter, videresendelsestilladelse eller returvej, fordi forberedelse af klientmateriale til fjernadgang er hele dens opgave.

Skriv rollerne og rutelisten ned først, så besvarer pakkespørgsmålet sig selv. Får du dem forkert, redder intet eksportformat designet. Det samme gælder returvejen: en filial, der kan nå centret og ikke kan få svar, er ikke en fungerende tunnel.