Miks OpenVPN-serveri konfiguratsiooni kopeerimine filiaali ebaõnnestub

Töötava serverikonfiguratsiooni kopeerimine, paari aadressi vahetamine ja selle filiaali profiiliks nimetamine annab tavaliselt ühenduse. See on halvim tulemus, sest filiaal töötab siis vale rolliga, paljastab materjali, mis ei peaks jaoturist lahkuma, ja jätab marsruudiseose, mida keegi ei mäleta loonud olevat. Ühendus varjab korraga kolme probleemi ja tunnel tõuseb enne, kui keegi need kontrollib.

Filiaali kohtlemine oma identiteedi ja võrgurolliga partnerina teeb profiili õigeks. Parandus ei ole parem koopia ja ülejäänud leht räägib sellest, mida klient peaks tegelikult hoidma.

Kaks rolli, mis näevad välja nagu üks fail

TLS-režiimis on kahel poolel teineteist täiendavad ülesanded. Üks pool kuulab, hoiab serveri sertifikaati ja võtit ning otsustab, millised kliendid tohivad ühenduda. Teine pool algatab, kontrollib kuulajat ja esitab oma identiteedi.

Serverifail sisaldab direktiive, millel pole kliendil mõtet: sidumisaadress ja port kuulamiseks, aadresside bassein jagamiseks ja sageli push-nimekiri seadetest, mida kliendid peaksid saama. Nende kopeerimine filiaali loob seadme, mis üritab olla korraga nii kuulaja kui klient.

Privaatvõti on kõige olulisem osa. Klient ei tohi kunagi kanda serveri privaatvõtit ja tal pole vaja ka CA allkirjastamisvõtit. CA sertifikaat on avalik usaldusmaterjal; allkirjastamisvõti kuulub sinna, kus sertifikaate väljastatakse.

Mida filiaali profiil peab sisaldama

Filiaali profiil vajab kaugotspunkti ja transporti, usaldusväärset serveri identiteeti, filiaali enda sertifikaati ja võtit ning marsruute ja DNS-seadeid, mida filiaal tegelikult vajab. Miski muu pole kohustuslik.

Hoidke filiaali identiteet iga asukoha jaoks eraldi. Kaks filiaali, mis jagavad ühte sertifikaati, tähendab, et ühe tühistamine lülitab välja teise, ja jaoturi logid ei suuda neid eristada. Asukohapõhine identiteet on see, mis paneb tööle nii auditijälje kui ka tühistamise loo.

Olge seadmete töövoogudega ettevaatlik. pfSense'i Client Exporti pakett loob profiile sobivatele Remote Accessi kontekstidele ja selle serverite nimekiri sisaldab vaid servereid, mis on seadistatud Remote Accessi režiimis. Teise režiimi saidi-saiti server ei ilmu ja see puudumine on informatsioon, mitte kutse serveri saladusi kopeerida.

Kui seade ei ekspordi vajalikku profiili, kasutage selle dokumenteeritud saidi-saiti kliendi töövoogu või koostage profiil paigaldatud väljalaske toetatud näite põhjal. Eksportige serveri varukoopia filiaali ainult siis, kui plaan on server taastada, mida see ei ole. Varukoopia kannab ka jaoturi privaatset materjali, seega selle filiaali viimine on võtmekäitlemise otsus, mitte failiülekanne. Hoidke seda jaoturis ja looge kliendi identiteet seal, kus sertifikaate väljastatakse.

Partneri ja võrgu seos on eraldi

Filiaali klient, mis ühendub edukalt, ei saa siiski oma LAN-i liiklust läbi lasta, kuni jaotur teab, et see partner omab seda prefiksit. See seos elab jaoturis, seotud kliendi identiteediga, ja see on eraldi filiaali enda marsruudist kaugvõrkude suunas. Ilma selleta näivad filiaali hostid tunneli statistikas kättesaadavad ja on praktikas kättesaamatud. Jaoturi logi on koht, kus kinnitada, kas seos rakendati.

Marsruudi lisamine jaoturi operatsioonisüsteemi ei ole sama, mis öelda OpenVPN-ile, milline klient seda prefiksit omab. Ilma kliendipõhise seoseta jõuab pakett tunneli liideseni ja visatakse ära, sest ükski partner ei nõua sihtkohta.

Filiaali poolel on vastav vajadus marsruut võrkude suunas, kuhu see peaks jõudma, pluss LAN-ruuter, mis teab, kuidas liiklust filiaali tagasi saata. Serveripoolne omand ja kliendipoolsed sihtkoha marsruudid on erinevad objektid ning töötav tunnel tõestab ainult esimest hüpet. Kirjutage mõlemad filiaali üleandmismärkmetesse, sest järgmine insener leiab neist ainult ühe.

Tõestada, et filiaal on partner, keda te arvate

Kontrollige identiteeti enne liikluse kontrollimist. Jaoturi logi peaks näitama filiaali sertifikaadi üldnime ja aadress, mille klient sai, peaks vastama kavatsetud basseinile või fikseeritud määrangule. Kui logi näitab teist nime, kannab profiil kellegi teise identiteeti.

Seejärel kontrollige seost, saates ühe päringu filiaali hostist jaoturi poolel asuvale ressursile, ja kinnitage, et see õnnestub oodatud lähteaadressiga. Testige sihtkohta, kuhu filiaal ei tohi jõuda, ja kinnitage, et see ebaõnnestub, sest juhuslikult töötav lubav marsruut ei ole sama mis õige poliitika.

Lõpuks tühistage filiaali identiteet ja kinnitage, et ühendus ebaõnnestub, samal ajal kui jaoturi enda sertifikaat ja teised asukohad töötavad edasi. Kui tühistamine lõhub jaoturi, jagati rolle ja identiteete kusagil, ja see on leid, mis tasub disaini tagasi viia.

Valmis filiaal on selline, millel on dokumenteeritud identiteet, ainult kliendi profiil, partneri ja võrgu seos jaoturis ning testitud tagasitee. Serverifailis teksti ümberpööramine ei anna teile neist ühtegi.