Client Export gegenüber einer ausgehenden OpenVPN-Instanz auf pfSense

Sie installieren das Paket Client Export, öffnen es, und die Serverauswahl ist leer. Der naheliegende Schluss ist, dass das Paket defekt ist oder dass pfSense überhaupt nicht als VPN-Client dienen kann, und beides ist falsch. Die Auswahl ist leer, weil auf pfSense kein Server für den Fernzugriff konfiguriert ist, und das Paket war nie das Werkzeug, mit dem die Firewall nach außen wählt. Zwei verschiedene Aufgaben teilen sich ein Wort, und die leere Liste ist der Klang davon, dass eine von ihnen um etwas gebeten wird, das sie nicht tut.

Entscheiden Sie vor der Installation, wer die Verbindung beginnt

Stellen Sie eine Frage: Welches Gerät beginnt die Verbindung? Wenn ein reisender Mitarbeiter sich mit der Büro-Firewall verbindet, ist pfSense der Server und das Notebook des Mitarbeiters der Client. Das Paket, das Sie in diesem Fall brauchen, bereitet Material für das Notebook vor, denn das Notebook ist die Seite, die wählt.

Wenn pfSense sich mit dem VPN-Dienst eines anderen verbindet, ist die Firewall der Client, und der entfernte Betreiber besitzt den Endpunkt, den Sie anwählen.

Beide Situationen verwenden das Wort Client, und dort beginnt die Verwirrung. Das Wort beschreibt eine Rolle in einer Verbindung, keine Produktkategorie.

Der Exporteur ist ein Helfer auf der Serverseite

Client Export nimmt einen Fernzugriffsserver, der auf pfSense bereits existiert, und erzeugt das Material, das ein verbindendes Gerät benötigt. Es liest die Einstellungen, Zertifikate und Tunneloptionen dieses Servers und packt sie dann für die Nutzung anderswo.

Deshalb listet die Auswahl nur Server im Modus Remote Access auf. Ohne einen solchen Server gibt es nichts zu exportieren, und die leere Liste ist ein korrekter Bericht und kein Fehler. Legen Sie zuerst den Fernzugriffsserver an, und die Auswahl füllt sich von selbst. Diese Reihenfolge verwirrt Menschen häufiger als jede Einstellung im Paket.

Die Paketreferenz nennt die Abhängigkeit klar. Lesen Sie sie, bevor Sie annehmen, das Paket könne den Server für Sie anlegen.

Die ausgehende Instanz ist eine eigene Konfiguration

pfSense zu einem Client eines anderen Dienstes zu machen bedeutet, eine OpenVPN-Client-Instanz mit Endpunkt, Port, Protokoll, Zugangsdaten und Vertrauensmaterial dieses Anbieters anzulegen. Netgate dokumentiert das getrennt vom Exportpaket, weil es ein anderes Objekt in der Konfiguration ist.

Die Installation des Exporteurs füllt keines dieser Felder, und kein Exportformat erzeugt sie für Sie. Wenn Ihr Anbieter ein Profil liefert, importieren Sie dessen Werte oder übertragen Sie sie in die Instanz, die Sie anlegen.

Halten Sie die beiden Konfigurationen in getrennten gedanklichen Schachteln. Die eine antwortet anderen Geräten; die andere bittet einen anderen Server um einen Tunnel.

Wählen Sie das Exportformat, das das Gerät verarbeiten kann

Exporte gibt es als Inline-Konfigurationen, gebündelte Archive und Installationsprogramme für bestimmte Client-Anwendungen. Entscheiden Sie danach, was das empfangende Gerät tatsächlich importieren kann, nicht danach, welcher Download am vollständigsten aussieht.

Eine Inline-Datei ist praktisch für einen Client, der eingefügte Konfiguration akzeptiert. Ein Bündel enthält separate Dateien und passt zu einem Client, der ein Verzeichnis will. Ein Installationsprogramm setzt voraus, dass eine bestimmte Anwendung auf dieser Plattform zulässig ist, was ebenso eine Richtlinienentscheidung wie eine technische ist. Fragen Sie, welchen Client das empfangende Team unterstützt, bevor Sie etwas herunterladen.

Manche Exporte enthalten Zertifikate und private Schlüssel, und das Passwort, das dieses Schlüsselmaterial schützt, kann sich vom Kontopasswort des Benutzers unterscheiden. Übergeben Sie das Material über den genehmigten Registrierungskanal, statt einen vollständigen Export als Konfigurationsbeispiel in ein Ticket zu kleben.

Site-to-Site braucht Rollen und Routen, kein Paket

Ein Filialtunnel ist wieder ein anderes Design. Bestimmen Sie, welcher Endpunkt die Serverrolle und welcher die Clientrolle hat, und definieren Sie dann vor jeder Konfiguration die gerouteten Netze auf beiden Seiten.

Client Export hat keine Meinung zu den Routen der Filiale, zur Weiterleitungserlaubnis oder zum Rückweg, denn das Vorbereiten von Fernzugriffs-Clientmaterial ist seine gesamte Aufgabe.

Schreiben Sie zuerst die Rollen und die Routenliste auf, und die Paketfrage beantwortet sich selbst. Machen Sie es falsch, rettet kein Exportformat das Design. Dasselbe gilt für den Rückweg: Eine Filiale, die das Zentrum erreicht und keine Antwort erhalten kann, ist kein funktionierender Tunnel.