چرا کپی کردن پیکربندی سرور OpenVPN در یک شعبه شکست می‌خورد
کارخواه شعبه به هویت خودش، پروفایلی با نقش کارخواه و مسیری نیاز دارد که هاب به آن همتا گره بزند. کپی کردن فایل سرور نقش اشتباه را کپی می‌کند.
کپی کردن پیکربندی کارآمد سرور، عوض کردن چند نشانی و نامیدن آن به‌عنوان پروفایل شعبه معمولاً یک اتصال تولید می‌کند. این بدترین نتیجه است، چون شعبه پس از آن با نقش اشتباه کار می‌کند، موادی را افشا می‌کند که نباید از هاب خارج شود، و پیوند مسیری را باقی می‌گذارد که هیچ‌کس به یاد ندارد آن را ساخته است. اتصال سه مشکل را هم‌زمان پنهان می‌کند و تونل پیش از آنکه کسی آن‌ها را بررسی کند بالا می‌آید.
برخورد با شعبه به‌عنوان یک همتا با هویت و نقش شبکه‌ای خودش همان چیزی است که پروفایل را درست می‌کند. راه‌حل یک کپی بهتر نیست، و بقیه این صفحه درباره چیزی است که یک کارخواه واقعاً باید نگه دارد.
دو نقشی که شبیه یک فایل به نظر می‌رسند
در حالت TLS دو طرف وظایف مکمل دارند. یک طرف گوش می‌دهد، گواهی و کلید سرور را نگه می‌دارد و تصمیم می‌گیرد کدام کارخواهان می‌توانند متصل شوند. طرف دیگر آغاز می‌کند، شنونده را بررسی می‌کند و هویت خودش را ارائه می‌دهد.
یک فایل سرور دستورهایی دارد که روی یک کارخواه معنایی ندارند: یک نشانی اتصال و درگاه برای گوش دادن، مجموعه‌ای از نشانی‌ها برای توزیع، و اغلب فهرستی برای هل دادن تنظیماتی که کارخواهان باید دریافت کنند. کپی کردن آن‌ها در یک شعبه دستگاهی می‌سازد که هم‌زمان می‌کوشد شنونده و کارخواه باشد.
کلید خصوصی مهم‌ترین بخش است. یک کارخواه هرگز نباید کلید خصوصی سرور را حمل کند، و به کلید امضای CA هم نیاز ندارد. گواهی CA ماده اعتماد عمومی است؛ کلید امضا به جایی تعلق دارد که گواهی‌ها صادر می‌شوند.
پروفایل شعبه باید چه داشته باشد
پروفایل شعبه به نقطه پایانی دور و انتقال، هویت مورد اعتماد سرور، گواهی و کلید خود شعبه، و مسیرها و تنظیمات DNS که شعبه واقعاً نیاز دارد احتیاج دارد. هیچ چیز دیگری اجباری نیست.
هویت شعبه را برای هر سایت جدا نگه دارید. دو شعبه که یک گواهی را به اشتراک می‌گذارند یعنی ابطال یکی دیگری را از کار می‌اندازد، و گزارش‌های هاب نمی‌توانند آن‌ها را از هم تشخیص دهند. هویت به‌ازای هر سایت همان چیزی است که هم رد حسابرسی و هم داستان ابطال را کار می‌اندازد.
با گردش‌کارهای دستگاه‌ها مراقب باشید. بسته Client Export در pfSense برای زمینه‌های واجد شرایط Remote Access پروفایل می‌سازد و فهرست سرورهای آن فقط سرورهایی را شامل می‌شود که در حالت Remote Access پیکربندی شده‌اند. سرور سایت-به-سایت با حالت دیگر ظاهر نمی‌شود، و این غیبت یک اطلاعات است، نه دعوتی برای کپی کردن اسرار سرور.
اگر دستگاه پروفایل مورد نیاز شما را صادر نمی‌کند، از گردش‌کار مستند کارخواه سایت-به-سایت آن استفاده کنید یا پروفایل را از نمونه پشتیبانی‌شده نسخه نصب‌شده بسازید. پشتیبان سرور را تنها زمانی به شعبه صادر کنید که برنامه بازگردانی یک سرور باشد، که نیست. پشتیبان ماده خصوصی هاب را هم حمل می‌کند، پس انتقال آن به شعبه تصمیمی درباره نگهداری کلید است، نه انتقال فایل. آن را روی هاب نگه دارید و هویت کارخواه را جایی بسازید که گواهی‌ها صادر می‌شوند.
پیوند همتا با شبکه جداست
کارخواه شعبه‌ای که با موفقیت متصل می‌شود هنوز نمی‌تواند ترافیک LAN خود را عبور دهد تا زمانی که هاب بداند این همتا مالک آن پیشوند است. آن پیوند روی هاب زندگی می‌کند، به هویت کارخواه گره خورده، و از مسیر خود شعبه به سمت شبکه‌های دور جداست. بدون آن، میزبان‌های شعبه در آمار تونل در دسترس به نظر می‌رسند و در عمل در دسترس نیستند. گزارش هاب جایی است که تأیید می‌شود آیا پیوند اعمال شده است.
افزودن یک مسیر در سیستم‌عامل هاب همان چیزی نیست که به OpenVPN بگویید کدام کارخواه مالک پیشوند است. بدون پیوند به‌ازای هر کارخواه، بسته به رابط تونل می‌رسد و دور انداخته می‌شود چون هیچ همتایی مقصد را ادعا نمی‌کند.
در سمت شعبه، نیاز متناظر یک مسیر به سمت شبکه‌هایی است که باید به آن‌ها برسد، به‌همراه یک مسیریاب LAN که بداند ترافیک را چگونه به شعبه برگرداند. مالکیت در سمت سرور و مسیرهای مقصد در سمت کارخواه اشیای متفاوتی هستند، و یک تونل کارآمد تنها پرش اول را اثبات می‌کند. هر دو را در یادداشت‌های تحویل شعبه بنویسید، چون مهندس بعدی فقط یکی از آن‌ها را پیدا خواهد کرد.
اثبات اینکه شعبه همان همتایی است که فکر می‌کنید
پیش از بررسی ترافیک، هویت را بررسی کنید. گزارش هاب باید نام عمومی گواهی شعبه را نشان دهد، و نشانی‌ای که کارخواه دریافت کرده باید با مجموعه یا تخصیص ثابتی که در نظر داشتید مطابقت داشته باشد. اگر گزارش نام دیگری نشان دهد، پروفایل هویت شخص دیگری را حمل می‌کند.
سپس پیوند را با فرستادن یک درخواست از یک میزبان شعبه به منبعی در سمت هاب بررسی کنید و تأیید کنید که با نشانی مبدأ انتظاری موفق می‌شود. مقصدی را آزمایش کنید که شعبه نباید به آن برسد و تأیید کنید که شکست می‌خورد، چون یک مسیر سهل‌گیرانه که تصادفاً کار می‌کند با یک سیاست درست یکی نیست.
در پایان هویت شعبه را ابطال کنید و تأیید کنید که اتصال شکست می‌خورد در حالی که گواهی خود هاب و سایت‌های دیگر به کار ادامه می‌دهند. اگر ابطال هاب را بشکند، نقش‌ها و هویت‌ها جایی به اشتراک گذاشته شده‌اند، و این همان یافته‌ای است که ارزش بردن به طراحی را دارد.
شعبه تمام‌شده شعبه‌ای است با هویت مستند، پروفایل فقط-کارخواه، پیوند همتا با شبکه روی هاب، و مسیر بازگشت آزموده‌شده. وارونه کردن متن در یک فایل سرور هیچ‌یک از این‌ها را به شما نمی‌دهد.