Client Export face à une instance OpenVPN sortante sur pfSense

Vous installez le paquet Client Export, vous l’ouvrez, et le sélecteur de serveur est vide. La conclusion naturelle est que le paquet est cassé ou que pfSense ne peut pas du tout agir comme client VPN, et les deux sont fausses. Le sélecteur est vide parce que pfSense n’a aucun serveur d’accès distant configuré, et le paquet n’a jamais été l’outil qui fait composer le pare-feu vers l’extérieur. Deux tâches différentes partagent un mot, et la liste vide est le son de l’une d’elles à qui l’on demande quelque chose qu’elle ne fait pas.

Décidez qui initie avant d’installer quoi que ce soit

Posez une question : quel appareil démarre la connexion ? Si un employé en déplacement se connecte au pare-feu du bureau, pfSense est le serveur et l’ordinateur portable de l’employé est le client. Le paquet dont vous avez besoin dans ce cas prépare le matériel pour l’ordinateur portable, car c’est lui qui compose.

Si pfSense se connecte au service VPN de quelqu’un d’autre, le pare-feu est le client et l’opérateur distant possède le point de terminaison que vous composez.

Les deux situations utilisent le mot client, et c’est là que la confusion commence. Le mot décrit un rôle dans une connexion, pas une catégorie de produit.

L’exportateur est un auxiliaire côté serveur

Client Export prend un serveur d’accès distant qui existe déjà sur pfSense et produit le matériel dont un appareil qui se connecte a besoin. Il lit les réglages, les certificats et les options de tunnel de ce serveur, puis les empaquette pour un usage ailleurs.

C’est pourquoi le sélecteur ne liste que les serveurs en mode Remote Access. Sans un tel serveur, il n’y a rien à exporter, et la liste vide est un rapport exact et non une panne. Créez d’abord le serveur d’accès distant et le sélecteur se remplit tout seul. Cet ordre déroute les gens plus souvent que n’importe quel réglage du paquet.

La référence du paquet indique la dépendance clairement. Lisez-la avant de supposer que le paquet peut créer le serveur à votre place.

L’instance sortante est une configuration distincte

Faire de pfSense le client d’un autre service signifie créer une OpenVPN instance client avec le point de terminaison, le port, le protocole, les identifiants et le matériel de confiance de ce fournisseur. Netgate documente cela séparément du paquet d’exportation, car c’est un objet différent dans la configuration.

Installer l’exportateur ne remplit aucun de ces champs, et aucun format d’exportation ne les générera pour vous. Si votre fournisseur fournit un profil, vous importez ou recopiez ses valeurs dans l’instance que vous créez.

Gardez les deux configurations dans des boîtes mentales séparées. L’une répond à d’autres appareils ; l’autre demande un tunnel à un autre serveur.

Choisissez le format d’exportation que l’appareil peut consommer

Les exportations se présentent sous forme de configurations en ligne, d’archives groupées et d’installateurs pour des applications clientes spécifiques. Choisissez selon ce que l’appareil destinataire peut réellement importer, et non selon le téléchargement qui semble le plus complet.

Un fichier en ligne convient à un client qui accepte une configuration collée. Une archive transporte des fichiers séparés et convient à un client qui veut un répertoire. Un installateur suppose qu’une application particulière est acceptable sur cette plateforme, ce qui est une décision de politique autant que technique. Demandez quel client l’équipe destinataire prend en charge avant de télécharger quoi que ce soit.

Certaines exportations contiennent des certificats et des clés privées, et le mot de passe qui protège ce matériel de clé peut différer du mot de passe du compte de l’utilisateur. Remettez le matériel par le canal d’enrôlement approuvé plutôt que de coller une exportation complète dans un ticket comme exemple de configuration.

Le site à site a besoin de rôles et de routes, pas d’un paquet

Le tunnel d’une succursale est encore une autre conception. Identifiez quel point de terminaison tient le rôle de serveur et lequel tient le rôle de client, puis définissez les réseaux routés des deux côtés avant de configurer quoi que ce soit.

Client Export n’a pas d’avis sur les routes de la succursale, l’autorisation de transfert ou le chemin de retour, car préparer le matériel client d’accès distant est tout son travail.

Écrivez d’abord les rôles et la liste des routes, et la question du paquet se répond d’elle-même. Si vous vous trompez, aucun format d’exportation ne sauve la conception. Il en va de même pour le chemin de retour : une succursale qui atteint le centre sans pouvoir recevoir de réponse n’est pas un tunnel fonctionnel.