Client Export frente a una instancia OpenVPN saliente en pfSense

Instala el paquete Client Export, lo abre y el selector de servidores está vacío. La conclusión natural es que el paquete está roto o que pfSense no puede actuar como cliente VPN en absoluto, y ambas son erróneas. El selector está vacío porque pfSense no tiene ningún servidor de acceso remoto configurado, y el paquete nunca fue la herramienta para hacer que el cortafuegos marque hacia fuera. Dos tareas distintas comparten una palabra, y la lista vacía es el sonido de que a una de ellas se le pide algo que no hace.

Decida quién inicia antes de instalar nada

Haga una pregunta: ¿qué dispositivo inicia la conexión? Si un empleado de viaje se conecta al cortafuegos de la oficina, pfSense es el servidor y el portátil del empleado es el cliente. El paquete que necesita en ese caso prepara material para el portátil, porque el portátil es el lado que marca.

Si pfSense se conecta al servicio VPN de otra persona, el cortafuegos es el cliente y el operador remoto posee el punto final al que se marca.

Ambas situaciones usan la palabra cliente, y ahí empieza la confusión. La palabra describe un papel en una conexión, no una categoría de producto.

El exportador es un auxiliar del lado del servidor

Client Export toma un servidor de acceso remoto que ya existe en pfSense y produce el material que necesita un dispositivo que se conecta. Lee la configuración, los certificados y las opciones de túnel de ese servidor y luego los empaqueta para su uso en otro lugar.

Por eso el selector solo lista servidores en modo Remote Access. Sin ese servidor no hay nada que exportar, y la lista vacía es un informe exacto y no una avería. Cree primero el servidor de acceso remoto y el selector se llena solo. Ese orden desconcierta a la gente más a menudo que cualquier ajuste dentro del paquete.

La referencia del paquete expone la dependencia con claridad. Léala antes de suponer que el paquete puede crear el servidor por usted.

La instancia saliente es una configuración aparte

Hacer que pfSense sea cliente de otro servicio significa crear una OpenVPN instancia de cliente con el punto final, el puerto, el protocolo, las credenciales y el material de confianza de ese proveedor. Netgate lo documenta por separado del paquete de exportación, porque es un objeto distinto en la configuración.

Instalar el exportador no rellena ninguno de esos campos, y ningún formato de exportación los generará por usted. Si su proveedor le entrega un perfil, importe o transcriba sus valores a la instancia que cree.

Mantenga las dos configuraciones en cajas mentales separadas. Una responde a otros dispositivos; la otra pide un túnel a otro servidor.

Elija el formato de exportación que el dispositivo pueda consumir

Las exportaciones llegan como configuraciones en línea, archivos empaquetados e instaladores para aplicaciones cliente concretas. Elija según lo que el dispositivo receptor pueda importar de verdad, no según cuál descarga parezca más completa.

Un archivo en línea es cómodo para un cliente que acepta configuración pegada. Un paquete lleva archivos separados y encaja con un cliente que quiere un directorio. Un instalador presupone que una aplicación concreta es aceptable en esa plataforma, lo que es una decisión de política tanto como técnica. Pregunte qué cliente admite el equipo receptor antes de descargar nada.

Algunas exportaciones contienen certificados y claves privadas, y la contraseña que protege ese material de clave puede diferir de la contraseña de la cuenta del usuario. Entregue el material por el canal de inscripción aprobado en lugar de pegar una exportación completa en un ticket como muestra de configuración.

El sitio a sitio necesita roles y rutas, no un paquete

El túnel de una sucursal es un diseño distinto. Identifique qué punto final tiene el rol de servidor y cuál el de cliente, y luego defina las redes enrutadas en ambos lados antes de configurar nada.

Client Export no opina sobre las rutas de la sucursal, el permiso de reenvío ni el camino de vuelta, porque preparar material de cliente de acceso remoto es toda su tarea.

Escriba primero los roles y la lista de rutas, y la cuestión del paquete se responde sola. Si se equivoca, ningún formato de exportación salva el diseño. Lo mismo vale para el camino de vuelta: una sucursal que llega al centro y no puede recibir respuesta no es un túnel que funcione.