Zergatik huts egiten duen OpenVPN zerbitzariaren konfigurazioa sukurtsal batera kopiatzeak

Funtzionatzen duen zerbitzariaren konfigurazioa kopiatu, pare bat helbide aldatu eta sukurtsalaren profiletza deitzeak konexio bat sortu ohi du. Hori da emaitzarik okerrena, sukurtsalak gero okerreko rolekin lan egiten duelako, gune nagusitik atera behar ez lukeen materiala erakusten duelako eta inork sortu zuela gogoratzen ez duen ibilbide-elkartea uzten duelako. Konexioak hiru arazo ezkutatzen ditu batera, eta tunela altxatu egiten da inork egiaztatu aurretik.

Sukurtsala identitate eta sare-rol propioak dituen bikote gisa tratatzeak egiten du profila zuzena. Konponbidea ez da kopia hobe bat, eta orri honen gainerakoak bezero batek benetan zer eduki beharko lukeen azaltzen du.

Fitxategi bat ematen duten bi rol

TLS moduan bi aldeek elkar osatzen duten zereginak dituzte. Alde batek entzuten du, zerbitzariaren ziurtagiria eta gakoa gordetzen ditu eta zein bezerok konekta daitekeen erabakitzen du. Beste aldeak hasieratzen du, entzulea egiaztatzen du eta bere identitatea aurkezten du.

Zerbitzari-fitxategi batek bezeroan zentzurik ez duten direktibak ditu: entzuteko lotura-helbide eta ataka bat, banatzeko helbide multzo bat eta askotan bezeroek jaso beharko lituzketen ezarpenetarako push zerrenda bat. Hori sukurtsal batera kopiatzeak entzule eta bezero aldi berean izaten saiatzen den gailu bat sortzen du.

Gako pribatua da garrantzitsuena. Bezero batek ez du inoiz zerbitzariaren gako pribatua eraman behar, eta ez du CAren sinadura-gakoa behar ere. CA ziurtagiria konfiantza material publikoa da; sinadura-gakoa ziurtagiriak igortzen diren lekuan dagokio.

Sukurtsal profileak zer izan behar duen

Sukurtsal profileak urruneko amaiera-puntua eta garraioa, zerbitzariaren identitate fidagarria, sukurtsalaren beraren ziurtagiria eta gakoa, eta sukurtsalak benetan behar dituen ibilbideak eta DNS ezarpenak behar ditu. Beste ezer ez da derrigorrezkoa.

Eduki sukurtsalaren identitatea bereizita gune bakoitzeko. Bi sukurtsalek ziurtagiri bat partekatzeak esan nahi du bat errebokatzeak bestea desgaitzen duela, eta gune nagusiaren erregistroek ezin dituzte bereizi. Guneko identitateak egiten ditu bai auditoria-arrastoa eta bai errebokazioaren istorioa funtzionatzen.

Kontuz ibili gailuen lan-fluxuekin. pfSense-ren Client Export paketeak Remote Access testuinguru egokietarako profilak sortzen ditu, eta bere zerbitzari-zerrendak Remote Access moduan konfiguratutako zerbitzariak baino ez ditu biltzen. Beste modu bateko gune arteko zerbitzari bat ez da agertzen, eta absentzia hori informazioa da, ez zerbitzariaren sekretuak kopiatzeko gonbita.

Gailuak behar duzun profila esportatzen ez badu, erabili bere gune arteko bezeroaren lan-fluxu dokumentatua edo eraiki profila instalatutako bertsioaren adibide onartutik. Esportatu zerbitzariaren babeskopia sukurtsalra soilik plana zerbitzari bat leheneratzea bada, eta ez da hori. Babeskopia batek gune nagusiaren material pribatua ere eramaten du, beraz bat sukurtsalra mugitzea gakoen kudeaketako erabakia da, ez fitxategi-transferentzia. Eduki ezazu gune nagusian eta sortu bezeroaren identitatea ziurtagiriak igortzen diren lekuan.

Bikotearen eta sarearen arteko elkartea bereizia da

Ondo konektatzen duen sukurtsal bezero batek ezin du oraindik bere LANerako trafikoa pasatu, gune nagusiak jakin arte bikote honek aurrezenbaki horren jabe dela. Elkarte hori gune nagusian bizi da, bezeroaren identitateari lotuta, eta sukurtsalaren beraren urruneko sareetarako ibilbidetik bereizia da. Hura gabe, sukurtsalaren ostalariak tunelaren estatistikan irisgarri agertzen dira eta praktikan ez dira iristen. Gune nagusiaren erregistroa da elkartea aplikatu den egiaztatzeko tokia.

Gune nagusiaren sistema eragilean ibilbide bat gehitzea ez da gauza bera OpenVPN tresnari esatea zein bezerok duen aurrezenbakiaren jabe. Bezero bakoitzeko elkarterik gabe, paketea tunelaren interfazera iristen da eta baztertu egiten da, inongo bikotek helmuga aldarrikatzen ez duelako.

Sukurtsalaren aldean, dagokion beharra iritsi beharreko sareetarako ibilbidea da, gehi trafikoa sukurtsalra itzultzen dakien LAN bideratzailea. Zerbitzariaren aldeko jabetza eta bezeroaren aldeko helmuga-ibilbideak objektu desberdinak dira, eta funtzionatzen duen tunel batek lehen jauzia baino ez du frogatzen. Idatzi biak sukurtsalaren eskualdaketa-oharretan, hurrengo ingeniariak horietako bat baino ez baitu aurkituko.

Sukurtsala uste duzun bikotea dela frogatzea

Egiaztatu identitatea trafikoa egiaztatu aurretik. Gune nagusiaren erregistroak sukurtsalaren ziurtagiriaren izen arrunta erakutsi behar du, eta bezeroak jasotako helbideak zuk nahi zenituen multzo edo esleipen finkoarekin bat etorri behar du. Erregistroak beste izen bat erakusten badu, profileak beste norbaiten identitatea darama.

Ondoren egiaztatu elkartea sukurtsal ostalari batetik gune nagusiaren aldeko baliabide batera eskaera bat bidaliz eta berretsi itxarondako iturburu-helbidearekin arrakasta duela. Probatu sukurtsalak iritsi behar ez duen helmuga bat eta berretsi huts egiten duela, kasualitatez funtzionatzen duen ibilbide permisibo bat ez baita politika zuzena bezalakoa.

Azkenik, errebokatu sukurtsalaren identitatea eta berretsi konexioak huts egiten duela gune nagusiaren ziurtagiriak eta beste guneek lanean jarraitzen duten bitartean. Errebokazioak gune nagusia hondatzen badu, rolek eta identitateek nonbait partekatu zituzten, eta hori da diseinura itzultzea merezi duen aurkikuntza.

Amaitutako sukurtsal bat identitate dokumentatua, bezeroarentzako soilik den profila, gune nagusian bikotearen eta sarearen arteko elkartea eta probatutako itzulera-bidea dituena da. Zerbitzari-fitxategi bateko testua irauliz ez duzu horietako bat ere lortzen.