Client Export vastaan lähtevä OpenVPN-instanssi pfSensessä
Toinen paketti valmistelee profiileja muille laitteille, toinen saa pfSensen aloittamaan yhteyden. Päättäkää, kuka soittaa, ennen kuin asennatte kummankaan, ja valitkaa sitten muoto.
Asennat Client Export -paketin, avaat sen, ja palvelinvalitsin on tyhjä. Luonnollinen johtopäätös on, että paketti on rikki tai ettei pfSense voi toimia VPN-asiakkaana lainkaan, ja molemmat ovat väärin. Valitsin on tyhjä, koska pfSenseen ei ole määritetty etäkäyttöpalvelinta, eikä paketti ollut koskaan työkalu, jolla palomuuri soittaisi ulospäin. Kaksi eri työtä jakaa yhden sanan, ja tyhjä luettelo on sen ääni, kun yhdeltä niistä pyydetään jotain, mitä se ei tee.
Päättäkää, kuka aloittaa, ennen kuin asennatte mitään
Kysykää yksi kysymys: mikä laite aloittaa yhteyden? Jos matkustava työntekijä yhdistää toimiston palomuuriin, pfSense on palvelin ja työntekijän kannettava on asiakas. Paketti, jonka tässä tapauksessa tarvitsette, valmistelee materiaalia kannettavalle, koska kannettava on se puoli, joka soittaa.
Jos pfSense yhdistää jonkun toisen VPN-palveluun, palomuuri on asiakas ja etäoperaattori omistaa päätepisteen, johon soitatte.
Molemmat tilanteet käyttävät sanaa asiakas, ja siitä hämmennys alkaa. Sana kuvaa roolia yhdessä yhteydessä, ei tuoteluokkaa.
Viejä on palvelinpuolen apuri
Client Export ottaa etäkäyttöpalvelimen, joka on jo olemassa pfSensessä, ja tuottaa materiaalin, jonka yhdistävä laite tarvitsee. Se lukee kyseisen palvelimen asetukset, varmenteet ja tunnelivaihtoehdot ja pakkaa ne käytettäviksi muualla.
Siksi valitsin luettelee vain palvelimet Remote Access -tilassa. Ilman sellaista palvelinta ei ole mitään vietävää, ja tyhjä luettelo on tarkka raportti eikä vika. Luokaa ensin etäkäyttöpalvelin, niin valitsin täyttyy itsestään. Tämä järjestys hämmentää ihmisiä useammin kuin mikään paketin sisäinen asetus.
Paketin viite kertoo riippuvuuden suoraan. Lukekaa se ennen kuin oletatte, että paketti voi luoda palvelimen puolestanne.
Lähtevä instanssi on erillinen kokoonpano
PfSensen tekeminen toisen palvelun asiakkaaksi tarkoittaa OpenVPN asiakasinstanssin luomista kyseisen tarjoajan päätepisteellä, portilla, protokollalla, tunnistetiedoilla ja luottamusmateriaalilla. Netgate dokumentoi tämän erillään vientipaketista, koska se on eri objekti kokoonpanossa.
Viejän asentaminen ei täytä mitään näistä kentistä, eikä mikään vientimuoto tuota niitä puolestanne. Jos tarjoajanne toimittaa profiilin, tuotte tai kirjoitatte sen arvot luomaanne instanssiin.
Pitäkää kaksi kokoonpanoa erillisissä mielikuvituslaatikoissa. Toinen vastaa muille laitteille; toinen pyytää tunnelia toiselta palvelimelta.
Valitkaa vientimuoto, jota laite pystyy käyttämään
Viennit tulevat upotettuina kokoonpanoina, pakattuina arkistoina ja asennusohjelmina tietyille asiakassovelluksille. Valitkaa sen mukaan, mitä vastaanottava laite todella pystyy tuomaan, ei sen mukaan, mikä lataus näyttää täydellisimmältä.
Upotettu tiedosto on kätevä asiakkaalle, joka hyväksyy liitetyn kokoonpanon. Paketti sisältää erilliset tiedostot ja sopii asiakkaalle, joka haluaa hakemiston. Asennusohjelma olettaa, että tietty sovellus on hyväksyttävä kyseisellä alustalla, mikä on yhtä lailla käytäntöpäätös kuin tekninen. Kysykää, mitä asiakasta vastaanottava tiimi tukee, ennen kuin lataatte mitään.
Jotkin viennit sisältävät varmenteita ja yksityisiä avaimia, ja tämän avainmateriaalin suojaava salasana voi poiketa käyttäjän tilin salasanasta. Toimittakaa materiaali hyväksyttyä rekisteröintikanavaa pitkin sen sijaan, että liittäisitte täyden viennin tikettiin kokoonpanoesimerkkinä.
Site-to-site tarvitsee rooleja ja reittejä, ei pakettia
Haarakonttorin tunneli on taas erilainen suunnittelu. Selvittäkää, kummalla päätepisteellä on palvelinrooli ja kummalla asiakasrooli, ja määritelkää sitten reititetyt verkot molemmilla puolilla ennen kuin määritätte mitään.
Client Exportilla ei ole mielipidettä haaran reiteistä, edelleenlähetysluvasta tai paluupolusta, koska etäkäyttöasiakkaan materiaalin valmistelu on sen koko työ.
Kirjoittakaa roolit ja reittiluettelo ensin, niin pakettikysymys vastaa itse itsestään. Jos ne menevät väärin, mikään vientimuoto ei pelasta suunnittelua. Sama koskee paluupolkua: haara, joka tavoittaa keskukseen mutta ei saa vastausta, ei ole toimiva tunneli.