Kial kopii la agordon de OpenVPN-servilo en filion malsukcesas

Kopii la funkciantan servilan agordon, ŝanĝi kelkajn adresojn kaj nomi tion filia profilo kutime produktas konekton. Tio estas la plej malbona rezulto, ĉar la filio poste funkcias kun la malĝusta rolo, elmontras materialon kiu ne devus forlasi la centron, kaj lasas itin-asocion kiun neniu memoras esti farinta. La konekto kaŝas tri problemojn samtempe, kaj la tunelo leviĝas antaŭ ol iu kontrolas ilin.

Trakti la filion kiel samtavolon kun propra identeco kaj reta rolo estas tio, kio faras la profilon ĝusta. La ripariĝo ne estas pli bona kopio, kaj la resto de ĉi tiu paĝo temas pri tio, kion kliento efektive devus teni.

Du roloj kiuj aspektas kiel unu dosiero

En la TLS-reĝimo la du flankoj havas komplementajn taskojn. Unu flanko aŭskultas, tenas la servilan atestilon kaj ŝlosilon, kaj decidas kiuj klientoj rajtas konektiĝi. La alia flanko iniciatas, kontrolas la aŭskultanton kaj prezentas sian propran identecon.

Servila dosiero enhavas direktivojn kiuj ne havas sencon ĉe kliento: bind-adreson kaj pordon por aŭskulti, basenon da adresoj por disdoni, kaj ofte puŝliston por agordoj kiujn la klientoj devus ricevi. Kopii tion en filion produktas aparaton kiu provas esti samtempe aŭskultanto kaj kliento.

La privata ŝlosilo estas la parto plej grava. Kliento neniam rajtas porti la privatan ŝlosilon de la servilo, kaj ĝi ankaŭ ne bezonas la subskriban ŝlosilon de la CA. CA-atestilo estas publika fida materialo; la subskriba ŝlosilo apartenas tien, kie atestiloj estas eldonataj.

Kion filia profilo devas enhavi

Filia profilo bezonas la malproksiman finpunkton kaj la transporton, la fidata servilan identecon, la propran atestilon kaj ŝlosilon de la filio, kaj la itinerojn kaj DNS-agordojn kiujn la filio efektive postulas. Nenio alia estas deviga.

Tenu la filian identecon aparta por ĉiu loko. Du filioj kunhavantaj unu atestilon signifas, ke revoko de unu malŝaltas la alian, kaj la protokoloj de la centro ne povas distingi ilin. Identeco por ĉiu loko estas tio, kio ebligas kaj la revizian spuron kaj la revokan historion.

Estu singarda pri laborfluoj de aparatoj. La pako Client Export de pfSense produktas profilojn por taŭgaj Remote Access-kuntekstoj, kaj ĝia servila listo inkluzivas nur servilojn agorditajn en Remote Access-reĝimo. Servilo loko-al-loko de alia reĝimo ne aperas, kaj tiu manko estas informo, ne invito kopii la sekretojn de la servilo.

Se la aparato ne eksportas la bezonatan profilon, uzu ĝian dokumentitan loko-al-loko klientan laborfluon aŭ konstruu la profilon el la subtenata ekzemplo de la instalita eldono. Eksportu servilan savkopion en la filion nur se la plano estas restarigi servilon, kio ĝi ne estas. Savkopio ankaŭ portas la privatan materialon de la centro, do movi unu en filion estas decido pri ŝlosil-traktado, ne dosiera transigo. Tenu ĝin ĉe la centro kaj generu la klientan identecon tie, kie atestiloj estas eldonataj.

La asocio inter samtavolo kaj reto estas aparta

Filia kliento kiu sukcese konektiĝas ankoraŭ ne povas pasigi trafikon por sia LAN ĝis la centro scias, ke ĉi tiu samtavolo posedas tiun prefikson. Tiu asocio loĝas ĉe la centro, ligita al la identeco de la kliento, kaj ĝi estas aparta de la propra itinero de la filio al la malproksimaj retoj. Sen ĝi la gastigantoj de la filio aspektas atingeblaj en la statistiko de la tunelo kaj neatingeblaj en la praktiko. La protokolo de la centro estas la loko, kie oni konfirmas ĉu la asocio estis aplikita.

Aldoni itinero en la operaciumo de la centro ne samas kiel diri al OpenVPN, kiu kliento posedas la prefikson. Sen la asocio po kliento la paketo atingas la tunelan interfacon kaj estas forĵetata, ĉar neniu samtavolo postulas la celon.

Ĉe la filia flanko la responda bezono estas itinero al la retoj kiujn ĝi devus atingi, plus LAN-enkursigilo kiu scias resendi trafikon al la filio. Posedo ĉe la servila flanko kaj celitineroj ĉe la klienta flanko estas apartaj objektoj, kaj funkcianta tunelo pruvas nur la unuan salton. Skribu ambaŭ en la transdonajn notojn de la filio, ĉar la sekva inĝeniero trovos nur unu el ili.

Pruvi ke la filio estas la samtavolo, kiun vi pensas

Kontrolu la identecon antaŭ ol kontroli la trafikon. La protokolo de la centro devus montri la komunan nomon de la filia atestilo, kaj la adreso kiun la kliento ricevis devus kongrui kun la baseno aŭ fiksa asigno kiun vi intencis. Se la protokolo montras alian nomon, la profilo portas la identecon de iu alia.

Poste kontrolu la asocion sendante unu peton de filia gastiganto al rimedo ĉe la centra flanko kaj konfirmu, ke ĝi sukcesas kun la atendata fontadreso. Testu celon, kiun la filio ne rajtas atingi, kaj konfirmu ke ĝi malsukcesas, ĉar permesema itinero kiu hazarde funkcias ne samas kiel ĝusta politiko.

Fine revoku la filian identecon kaj konfirmu, ke la konekto malsukcesas dum la propra atestilo de la centro kaj aliaj lokoj daŭre funkcias. Se la revoko rompas la centron, roloj kaj identecoj estis kunhavitaj ie, kaj tio estas la trovaĵo inda por reen porti al la dezajno.

Finita filio estas tiu kun dokumentita identeco, nur-klienta profilo, asocio inter samtavolo kaj reto ĉe la centro, kaj elprovita revena vojo. Renversi tekston en servila dosiero donas al vi neniun el tiuj.