Por que falla copiar a configuración do servidor OpenVPN a unha sucursal

Copiar a configuración do servidor que funciona, cambiar un par de enderezos e chamarlle perfil de sucursal adoita producir unha conexión. Ese é o peor resultado, porque a sucursal pasa a funcionar co papel equivocado, expón material que non debería saír do concentrador e deixa unha asociación de ruta que ninguén lembra ter creado. A conexión agocha tres problemas á vez, e o túnel levántase antes de que alguén os comprobe.

Tratar a sucursal como un par con identidade e papel de rede propios é o que fai correcto o perfil. A solución non é unha copia mellor, e o resto desta páxina trata do que un cliente debería ter de verdade.

Dous papeis que parecen un só ficheiro

En modo TLS os dous pares teñen tarefas complementarias. Un lado escoita, garda o certificado e a chave do servidor e decide que clientes poden conectarse. O outro lado inicia, verifica o oínte e presenta a súa propia identidade.

Un ficheiro de servidor contén directivas que non teñen sentido nun cliente: un enderezo de escoita e un porto, un conxunto de enderezos para repartir e a miúdo unha lista de empuxe para axustes que os clientes deberían recibir. Copiar iso a unha sucursal produce un dispositivo que tenta ser á vez oínte e cliente.

A chave privada é a parte que máis importa. Un cliente nunca debe levar a chave privada do servidor, e tampouco necesita a chave de sinatura da CA. Un certificado de CA é material público de confianza; a chave de sinatura pertence a onde se emiten os certificados.

Que debe conter un perfil de sucursal

Un perfil de sucursal necesita o extremo remoto e o transporte, a identidade de servidor de confianza, o certificado e a chave propios da sucursal, e as rutas e axustes de DNS que a sucursal require de verdade. Nada máis é obrigatorio.

Manteña a identidade da sucursal separada por sitio. Dúas sucursais que comparten un certificado significan que revogar unha desactiva a outra, e os rexistros do concentrador non poden distinguilas. Unha identidade por sitio é o que fai funcionar tanto o rastro de auditoría como a historia de revogación.

Teña coidado cos fluxos dos equipos. O paquete Client Export de pfSense xera perfís para contextos de Remote Access admisibles, e a súa lista de servidores só inclúe servidores configurados nun modo Remote Access. Un servidor sitio a sitio doutro modo non aparece, e esa ausencia é información, non unha invitación a copiar os segredos do servidor.

Se o equipo non exporta o perfil que necesita, empregue o seu fluxo de cliente sitio a sitio documentado ou construa o perfil a partir do exemplo admitido da versión instalada. Exporte unha copia de seguridade do servidor á sucursal só se o plan é restaurar un servidor, que non o é. Unha copia tamén leva material privado do concentrador, así que mover unha a unha sucursal é unha decisión de manexo de chaves, non unha transferencia de ficheiro. Déixea no concentrador e xere a identidade do cliente onde se emiten os certificados.

A asociación entre par e rede é á parte

Un cliente de sucursal que se conecta con éxito aínda non pode pasar tráfico para a súa LAN ata que o concentrador saiba que este par posúe ese prefixo. Esa asociación vive no concentrador, ligada á identidade do cliente, e é á parte da ruta propia da sucursal cara ás redes remotas. Sen ela, os equipos da sucursal parecen accesibles nas estatísticas do túnel e son inaccesibles na práctica. O rexistro do concentrador é o lugar onde confirmar se a asociación se aplicou.

Engadir unha ruta no sistema operativo do concentrador non é o mesmo que dicirlle a OpenVPN que cliente posúe o prefixo. Sen a asociación por cliente, o paquete chega á interface do túnel e descártase porque ningún par reclama o destino.

No lado da sucursal, a necesidade correspondente é unha ruta cara ás redes que debe alcanzar, máis un enrutador de LAN que saiba devolver o tráfico á sucursal. A propiedade no lado do servidor e as rutas de destino no lado do cliente son obxectos distintos, e un túnel que funciona só demostra o primeiro salto. Anote ambos nas notas de traspaso da sucursal, porque o seguinte enxeñeiro só atopará un dos dous.

Demostrar que a sucursal é o par que vostede cre

Verifique a identidade antes de verificar o tráfico. O rexistro do concentrador debería mostrar o nome común do certificado da sucursal, e o enderezo que recibiu o cliente debería coincidir co conxunto ou a asignación fixa que vostede pretendía. Se o rexistro mostra outro nome, o perfil leva a identidade doutra persoa.

Despois verifique a asociación enviando unha petición desde un equipo da sucursal a un recurso do lado do concentrador e confirme que ten éxito co enderezo de orixe esperado. Probe un destino ao que a sucursal non debe chegar e confirme que falla, porque unha ruta permisiva que funciona por casualidade non é o mesmo que unha política correcta.

Por último, revogue a identidade da sucursal e confirme que a conexión falla mentres o certificado propio do concentrador e os demais sitios seguen funcionando. Se a revogación rompe o concentrador, compartíronse papeis e identidades nalgún lugar, e ese é o achado que paga a pena devolver ao deseño.

Unha sucursal terminada é a que ten unha identidade documentada, un perfil só de cliente, unha asociación entre par e rede no concentrador e un camiño de volta probado. Xirar o texto dun ficheiro de servidor non lle dá ningún deses.