Γιατί η αντιγραφή της ρύθμισης του διακομιστή OpenVPN σε υποκατάστημα αποτυγχάνει

Η αντιγραφή της λειτουργικής ρύθμισης του διακομιστή, η αλλαγή δύο διευθύνσεων και η ονομασία της προφίλ υποκαταστήματος συνήθως παράγει σύνδεση. Αυτό είναι το χειρότερο αποτέλεσμα, γιατί το υποκατάστημα τρέχει έπειτα με λάθος ρόλο, εκθέτει υλικό που δεν θα έπρεπε να φύγει από τον κόμβο και αφήνει μια συσχέτιση διαδρομής που κανείς δεν θυμάται ότι έφτιαξε. Η σύνδεση κρύβει τρία προβλήματα ταυτόχρονα, και η σήραγγα σηκώνεται πριν τα ελέγξει κανείς.

Το να αντιμετωπίζεται το υποκατάστημα ως ομότιμος με δική του ταυτότητα και ρόλο δικτύου είναι αυτό που κάνει το προφίλ σωστό. Η διόρθωση δεν είναι καλύτερο αντίγραφο, και το υπόλοιπο της σελίδας αφορά το τι πρέπει πραγματικά να κρατά ένας πελάτης.

Δύο ρόλοι που μοιάζουν με ένα αρχείο

Στη λειτουργία TLS οι δύο πλευρές έχουν συμπληρωματικές εργασίες. Η μία πλευρά ακούει, κρατά το πιστοποιητικό και το κλειδί του διακομιστή και αποφασίζει ποιοι πελάτες μπορούν να συνδεθούν. Η άλλη πλευρά ξεκινά, επαληθεύει τον ακροατή και παρουσιάζει τη δική της ταυτότητα.

Ένα αρχείο διακομιστή περιέχει οδηγίες που δεν έχουν νόημα σε πελάτη: μια διεύθυνση δέσμευσης και θύρα για ακρόαση, μια δεξαμενή διευθύνσεων για διανομή και συχνά μια λίστα ώθησης για ρυθμίσεις που πρέπει να λάβουν οι πελάτες. Η αντιγραφή τους σε υποκατάστημα παράγει μια συσκευή που προσπαθεί να είναι ακροατής και πελάτης ταυτόχρονα.

Το ιδιωτικό κλειδί είναι το μέρος που μετράει περισσότερο. Ένας πελάτης δεν πρέπει ποτέ να μεταφέρει το ιδιωτικό κλειδί του διακομιστή και δεν χρειάζεται ούτε το κλειδί υπογραφής της CA. Ένα πιστοποιητικό CA είναι δημόσιο υλικό εμπιστοσύνης· το κλειδί υπογραφής ανήκει εκεί όπου εκδίδονται τα πιστοποιητικά.

Τι πρέπει να περιέχει ένα προφίλ υποκαταστήματος

Ένα προφίλ υποκαταστήματος χρειάζεται το απομακρυσμένο τελικό σημείο και τη μεταφορά, την αξιόπιστη ταυτότητα του διακομιστή, το δικό του πιστοποιητικό και κλειδί του υποκαταστήματος, καθώς και τις διαδρομές και τις ρυθμίσεις DNS που απαιτεί πραγματικά το υποκατάστημα. Τίποτε άλλο δεν είναι υποχρεωτικό.

Κρατήστε την ταυτότητα του υποκαταστήματος ξεχωριστή ανά τοποθεσία. Δύο υποκαταστήματα που μοιράζονται ένα πιστοποιητικό σημαίνει ότι η ανάκληση του ενός απενεργοποιεί το άλλο, και τα αρχεία καταγραφής του κόμβου δεν μπορούν να τα ξεχωρίσουν. Η ταυτότητα ανά τοποθεσία είναι αυτό που κάνει να δουλεύουν και το ίχνος ελέγχου και η ιστορία ανάκλησης.

Προσοχή στις ροές εργασίας των συσκευών. Το πακέτο Client Export του pfSense παράγει προφίλ για κατάλληλα περιβάλλοντα Remote Access, και η λίστα διακομιστών του περιλαμβάνει μόνο διακομιστές που έχουν ρυθμιστεί σε λειτουργία Remote Access. Ένας διακομιστής τοποθεσίας-σε-τοποθεσία άλλης λειτουργίας δεν εμφανίζεται, και αυτή η απουσία είναι πληροφορία, όχι πρόσκληση να αντιγράψετε τα μυστικά του διακομιστή.

Αν η συσκευή δεν εξάγει το προφίλ που χρειάζεστε, χρησιμοποιήστε την τεκμηριωμένη ροή εργασίας πελάτη τοποθεσίας-σε-τοποθεσία ή φτιάξτε το προφίλ από το υποστηριζόμενο παράδειγμα της εγκατεστημένης έκδοσης. Εξαγάγετε αντίγραφο ασφαλείας διακομιστή στο υποκατάστημα μόνο αν το σχέδιο είναι επαναφορά διακομιστή, που δεν είναι. Ένα αντίγραφο μεταφέρει και το ιδιωτικό υλικό του κόμβου, οπότε η μετακίνησή του σε υποκατάστημα είναι απόφαση χειρισμού κλειδιών, όχι μεταφορά αρχείου. Κρατήστε το στον κόμβο και δημιουργήστε την ταυτότητα του πελάτη εκεί όπου εκδίδονται τα πιστοποιητικά.

Η συσχέτιση ομότιμου με δίκτυο είναι ξεχωριστή

Ένας πελάτης υποκαταστήματος που συνδέεται επιτυχώς δεν μπορεί ακόμη να περνά κίνηση για το LAN του μέχρι ο κόμβος να ξέρει ότι αυτός ο ομότιμος κατέχει αυτό το πρόθεμα. Αυτή η συσχέτιση ζει στον κόμβο, δεμένη με την ταυτότητα του πελάτη, και είναι ξεχωριστή από τη δική του διαδρομή του υποκαταστήματος προς τα απομακρυσμένα δίκτυα. Χωρίς αυτήν, οι υπολογιστές του υποκαταστήματος φαίνονται προσβάσιμοι στα στατιστικά της σήραγγας και είναι απρόσιτοι στην πράξη. Το αρχείο καταγραφής του κόμβου είναι το σημείο όπου επιβεβαιώνεται αν εφαρμόστηκε η συσχέτιση.

Η προσθήκη διαδρομής στο λειτουργικό σύστημα του κόμβου δεν είναι το ίδιο με το να πείτε στο OpenVPN ποιος πελάτης κατέχει το πρόθεμα. Χωρίς τη συσχέτιση ανά πελάτη, το πακέτο φτάνει στη διεπαφή της σήραγγας και απορρίπτεται επειδή κανένας ομότιμος δεν διεκδικεί τον προορισμό.

Στην πλευρά του υποκαταστήματος η αντίστοιχη ανάγκη είναι μια διαδρομή προς τα δίκτυα που πρέπει να φτάσει, συν έναν δρομολογητή LAN που ξέρει να επιστρέφει την κίνηση στο υποκατάστημα. Η κυριότητα στην πλευρά του διακομιστή και οι διαδρομές προορισμού στην πλευρά του πελάτη είναι διαφορετικά αντικείμενα, και μια σήραγγα που δουλεύει αποδεικνύει μόνο το πρώτο άλμα. Γράψτε και τα δύο στις σημειώσεις παράδοσης του υποκαταστήματος, γιατί ο επόμενος μηχανικός θα βρει μόνο ένα από αυτά.

Να αποδείξετε ότι το υποκατάστημα είναι ο ομότιμος που νομίζετε

Επαληθεύστε την ταυτότητα πριν επαληθεύσετε την κίνηση. Το αρχείο καταγραφής του κόμβου θα πρέπει να δείχνει το κοινό όνομα του πιστοποιητικού του υποκαταστήματος, και η διεύθυνση που έλαβε ο πελάτης θα πρέπει να ταιριάζει με τη δεξαμενή ή τη σταθερή εκχώρηση που είχατε σκοπό. Αν το αρχείο δείχνει άλλο όνομα, το προφίλ μεταφέρει ταυτότητα άλλου.

Έπειτα επαληθεύστε τη συσχέτιση στέλνοντας ένα αίτημα από υπολογιστή του υποκαταστήματος σε πόρο της πλευράς του κόμβου και επιβεβαιώστε ότι πετυχαίνει με την αναμενόμενη διεύθυνση προέλευσης. Δοκιμάστε έναν προορισμό που το υποκατάστημα δεν πρέπει να φτάνει και επιβεβαιώστε ότι αποτυγχάνει, γιατί μια επιτρεπτική διαδρομή που τυχαίνει να δουλεύει δεν είναι το ίδιο με μια σωστή πολιτική.

Τέλος, ανακαλέστε την ταυτότητα του υποκαταστήματος και επιβεβαιώστε ότι η σύνδεση αποτυγχάνει ενώ το πιστοποιητικό του κόμβου και άλλες τοποθεσίες συνεχίζουν να δουλεύουν. Αν η ανάκληση σπάσει τον κόμβο, ρόλοι και ταυτότητες μοιράστηκαν κάπου, και αυτό είναι το εύρημα που αξίζει να πάει πίσω στον σχεδιασμό.

Ένα ολοκληρωμένο υποκατάστημα έχει τεκμηριωμένη ταυτότητα, προφίλ μόνο για πελάτη, συσχέτιση ομότιμου με δίκτυο στον κόμβο και δοκιμασμένη διαδρομή επιστροφής. Το γύρισμα κειμένου σε αρχείο διακομιστή δεν σας δίνει κανένα από αυτά.