Wêrom it kopiearjen fan de OpenVPN-serverkonfiguraasje nei in filiaal mislearret

It wurkjende serverkonfiguraasje kopiearje, in pear adressen ferwikselje en it dan in filiaalprofyl neame leveret meastentiids in ferbining. Dat is de minste útslach, want it filiaal wurket dan mei de ferkearde rol, leit materiaal bleat dat de hub net ferlitte moat, en lit in rûte-assoasjaasje efter dy't nimmen him herinnert makke te hawwen. De ferbining ferberget trije problemen tagelyk, en de tunnel komt op foardat immen se kontrolearret.

It filiaal behannelje as in peer mei syn eigen identiteit en netwurkrol is wat it profyl korrekt makket. De oplossing is net in bettere kopy, en de rest fan dizze side giet oer wat in klant eins hâlde moat.

Twa rollen dy't op ien bestân lykje

Yn TLS-modus hawwe de beide kanten oanfoljende taken. Ien kant harket, hâldt it server-sertifikaat en de kaai, en beslút hokker klanten ferbine meie. De oare kant set útein, ferifiearret de harker en presintearret syn eigen identiteit.

In serverbestân befettet rjochtlinen dy't op in klant gjin sin hawwe: in bindadres en poarte om op te harkjen, in pool adressen om út te dielen en faaks in push-list foar ynstellings dy't de klanten krije moatte. It kopiearjen dêrfan nei in filiaal makket in apparaat dat tagelyk harker en klant besiket te wêzen.

De partikuliere kaai is it part dat it measte telt. In klant mei nea de partikuliere kaai fan de server drage, en hy hat ek de ûndertekenkaai fan de CA net nedich. In CA-sertifikaat is iepenbier fertrouwensmateriaal; de ûndertekenkaai heart dêr't sertifikaten útjûn wurde.

Wat in filiaalprofyl befetsje moat

In filiaalprofyl hat it fiere einpunt en it ferfier nedich, de fertroude serveridentiteit, it eigen sertifikaat en de kaai fan it filiaal, en de rûtes en DNS-ynstellings dy't it filiaal wier nedich hat. Neat oars is ferplicht.

Hâld de identiteit fan it filiaal apart per lokaasje. Twa filialen mei ien sertifikaat betsjutte dat it ynlûken fan ien it oare útskeakelet, en de logs fan de hub kinne se net útinoar hâlde. In identiteit per lokaasje is wat sawol it auditspoar as it ferhaal fan it ynlûken wurkje lit.

Wês foarsichtich mei apparaatwurkstreams. It Client Export-pakket fan pfSense makket profilen foar geskikte Remote Access-konteksten, en syn serverlist befettet allinnich servers dy't yn in Remote Access-modus konfigurearre binne. In lokaasje-nei-lokaasje-server fan in oare modus ferskynt net, en dat ûntbrekken is ynformaasje, gjin útnûging om de geheimen fan de server te kopiearjen.

As it apparaat it profyl net eksportearret dat jo nedich hawwe, brûk dan syn dokumintearre lokaasje-nei-lokaasje-klantwurkstream of bou it profyl fan it stipe foarbyld fan 'e ynstallearre ferzje. Eksportearje allinnich in serverback-up nei it filiaal as it plan is in server te werstellen, wat it net is. In back-up draacht ek it partikuliere materiaal fan de hub, dus ien nei in filiaal ferpleatse is in kaai-behear-beslissing, gjin bestânsoerdracht. Hâld it op de hub en generearje de klantidentiteit dêr't sertifikaten útjûn wurde.

De assoasjaasje fan peer nei netwurk is apart

In filiaalklant dy't suksesfol ferbynt kin noch gjin ferkear foar syn LAN trochjaan oant de hub wit dat dizze peer dat foarheaksel besit. Dy assoasjaasje wennet op de hub, bûn oan de identiteit fan de klant, en hy is apart fan 'e eigen rûte fan it filiaal nei de fiere netwurken. Sûnder dy ferskine de hosts fan it filiaal berikber yn 'e statistyk fan 'e tunnel en binne se dat yn 'e praktyk net. De log fan de hub is it plak om te befêstigjen oft de assoasjaasje tapast is.

In rûte tafoegje yn it bestjoeringssysteem fan de hub is net itselde as OpenVPN fertelle hokker klant it foarheaksel besit. Sûnder de assoasjaasje per klant berikt it pakket de tunnelinterface en wurdt it weilitten om't gjin peer de bestimming opeasket.

Oan 'e kant fan it filiaal is de oerienkommende needsaak in rûte nei de netwurken dy't it berikke moat, plus in LAN-rjochter dy't wit hoe't er ferkear nei it filiaal weromstjoert. Eigendom oan 'e serverkant en bestimmingsrûtes oan 'e klantkant binne aparte objekten, en in wurkjende tunnel bewiist allinnich de earste sprong. Skriuw beide op yn 'e oerdrachtsnotysjes fan it filiaal, want de folgjende yngenjeur sil mar ien fan beide fine.

Bewize dat it filiaal de peer is dy't jo tinke

Ferifiearje identiteit foardat jo ferkear ferifiearje. De log fan de hub heart de gewoane namme fan it sertifikaat fan it filiaal te sjen te jaan, en it adres dat de klant krige heart te passen by de pool of fêste tawizing dy't jo bedoelden. As de log in oare namme toant, draacht it profyl de identiteit fan in oar.

Ferifiearje dêrnei de assoasjaasje troch ien fersyk fan in host yn it filiaal nei in boarne oan 'e hubkant te stjoeren en befêstigje dat it slagget mei it ferwachte boarneadres. Test in bestimming dy't it filiaal net berikke mei en befêstigje dat it mislearret, want in tastienjende rûte dy't tafallich wurket is net itselde as in korrekt belied.

Lûk úteinlings de identiteit fan it filiaal yn en befêstigje dat de ferbining mislearret wylst it eigen sertifikaat fan de hub en oare lokaasjes trochwurkje. As it ynlûken de hub brekt, waarden rollen en identiteiten earne dield, en dat is de befinning dy't it wurdich is werom te nimmen nei it ûntwerp.

In dien filiaal is ien mei in dokumintearre identiteit, in profyl allinnich foar de klant, in assoasjaasje fan peer nei netwurk op de hub, en in teste weromwei. Tekst yn in serverbestân omkeare jout jo net ien fan dy.