OpenVPN સર્વર કન્ફિગરેશન શાખામાં કૉપિ કરવાથી કેમ નિષ્ફળ જાય છે

કાર્યરત સર્વર કન્ફિગરેશન કૉપિ કરી, બે-ત્રણ સરનામાં બદલીને તેને શાખા પ્રોફાઇલ કહેવાથી સામાન્ય રીતે કનેક્શન બની જાય છે. એ સૌથી ખરાબ પરિણામ છે, કારણ કે પછી શાખા ખોટી ભૂમિકા સાથે ચાલે છે, એવી સામગ્રી ખુલ્લી કરે છે જે હબ છોડવી ન જોઈએ, અને એવું રૂટ સંલગ્નતા છોડી જાય છે જે કોઈને યાદ નથી કે તેણે બનાવ્યું હતું. કનેક્શન એકસાથે ત્રણ સમસ્યાઓ છુપાવે છે, અને કોઈ તેને ચકાસે તે પહેલાં ટનલ ઉપર આવી જાય છે.

શાખાને તેની પોતાની ઓળખ અને નેટવર્ક ભૂમિકા ધરાવતા પીઅર તરીકે ગણવી એ જ પ્રોફાઇલને સાચી બનાવે છે. ઉપાય વધુ સારી નકલ નથી, અને આ પૃષ્ઠનો બાકીનો ભાગ એ વિશે છે કે ક્લાઇએન્ટે ખરેખર શું રાખવું જોઈએ.

એક ફાઇલ જેવા દેખાતી બે ભૂમિકાઓ

TLS મોડમાં બંને પક્ષોનાં કામ પૂરક હોય છે. એક પક્ષ સાંભળે છે, સર્વરનું પ્રમાણપત્ર અને કી રાખે છે, અને કયા ક્લાઇએન્ટ જોડાઈ શકે તે નક્કી કરે છે. બીજો પક્ષ શરૂ કરે છે, શ્રોતાને ચકાસે છે અને પોતાની ઓળખ રજૂ કરે છે.

સર્વર ફાઇલમાં એવી સૂચનાઓ હોય છે જે ક્લાઇએન્ટ પર અર્થહીન છે: સાંભળવા માટે બાઇન્ડ સરનામું અને પોર્ટ, વહેંચવા માટે સરનામાંનો સમૂહ, અને ઘણી વાર એવી પુશ યાદી કે ક્લાઇએન્ટને કઈ સેટિંગ મળવી જોઈએ. એ શાખામાં કૉપિ કરવાથી એવું ઉપકરણ બને છે જે એક જ સમયે શ્રોતા અને ક્લાઇએન્ટ બનવા માગે છે.

ખાનગી કી એ સૌથી મહત્ત્વનો ભાગ છે. ક્લાઇએન્ટે કદી સર્વરની ખાનગી કી રાખવી ન જોઈએ, અને તેને CAની સહી કીની પણ જરૂર નથી. CA પ્રમાણપત્ર જાહેર વિશ્વાસ સામગ્રી છે; સહી કી એ જગ્યાએ રહે છે જ્યાં પ્રમાણપત્રો જારી થાય છે.

શાખા પ્રોફાઇલમાં શું હોવું જોઈએ

શાખા પ્રોફાઇલને દૂરનું અંતિમ બિંદુ અને પરિવહન, વિશ્વસનીય સર્વર ઓળખ, શાખાનું પોતાનું પ્રમાણપત્ર અને કી, અને શાખાને ખરેખર જરૂરી રૂટ તથા DNS સેટિંગની જરૂર પડે છે. બીજું કંઈ ફરજિયાત નથી.

દરેક સાઇટ માટે શાખાની ઓળખ અલગ રાખો. બે શાખા એક પ્રમાણપત્ર વહેંચે તો એકને રદ કરવાથી બીજી બંધ થાય છે, અને હબના લોગ તેમને અલગ પાડી શકતા નથી. સાઇટ મુજબની ઓળખ જ ઓડિટ ટ્રેલ અને રદ કરવાની વાત બંનેને કામ કરાવે છે.

ઉપકરણના કાર્યપ્રવાહમાં સાવધ રહો. pfSenseનું Client Export પેકેજ યોગ્ય Remote Access સંદર્ભો માટે પ્રોફાઇલ બનાવે છે, અને તેની સર્વર યાદીમાં ફક્ત Remote Access મોડમાં રૂપરેખાંકિત સર્વર હોય છે. બીજા મોડનું સાઇટ-થી-સાઇટ સર્વર દેખાતું નથી, અને એ ગેરહાજરી માહિતી છે, સર્વરની ગુપ્તતા કૉપિ કરવાનું આમંત્રણ નથી.

જો ઉપકરણ તમને જરૂરી પ્રોફાઇલ નિકાસ ન કરે, તો તેનો દસ્તાવેજીકૃત સાઇટ-થી-સાઇટ ક્લાઇએન્ટ કાર્યપ્રવાહ વાપરો અથવા સ્થાપિત આવૃત્તિના સમર્થિત ઉદાહરણમાંથી પ્રોફાઇલ બનાવો. સર્વર બેકઅપ શાખામાં ફક્ત ત્યારે નિકાસ કરો જો યોજના સર્વર પુનઃસ્થાપિત કરવાની હોય, જે નથી. બેકઅપ હબની ખાનગી સામગ્રી પણ લઈ જાય છે, તેથી એકને શાખામાં ખસેડવી એ કી સંભાળનો નિર્ણય છે, ફાઇલ સ્થાનાંતરણ નહીં. તેને હબ પર રાખો અને ક્લાઇએન્ટ ઓળખ ત્યાં બનાવો જ્યાં પ્રમાણપત્રો જારી થાય છે.

પીઅર-થી-નેટવર્ક સંલગ્નતા અલગ છે

સફળતાપૂર્વક જોડાતો શાખા ક્લાઇએન્ટ હજી પણ તેના LAN માટે ટ્રાફિક પસાર કરી શકતો નથી, જ્યાં સુધી હબને ખબર ન પડે કે આ પીઅર તે પ્રીફિક્સનો માલિક છે. એ સંલગ્નતા હબ પર રહે છે, ક્લાઇએન્ટની ઓળખ સાથે બંધાયેલી, અને તે શાખાના દૂરના નેટવર્ક તરફના પોતાના રૂટથી અલગ છે. તેના વિના શાખાના યજમાન ટનલનાં આંકડામાં પહોંચી શકાય તેવા દેખાય છે અને વ્યવહારમાં પહોંચી શકાતા નથી. હબનો લોગ એ જગ્યા છે જ્યાં સંલગ્નતા લાગુ થઈ છે કે નહીં તેની ખાતરી કરાય છે.

હબના ઓપરેટિંગ સિસ્ટમમાં રૂટ ઉમેરવો એ OpenVPN-ને કહેવા જેવું નથી કે કયો ક્લાઇએન્ટ પ્રીફિક્સનો માલિક છે. દરેક ક્લાઇએન્ટ માટેની સંલગ્નતા વિના પેકેટ ટનલ ઇન્ટરફેસ સુધી પહોંચે છે અને છોડી દેવાય છે, કારણ કે કોઈ પીઅર ગંતવ્યનો દાવો કરતું નથી.

શાખાની બાજુએ, સંબંધિત જરૂર એ છે કે જે નેટવર્ક સુધી પહોંચવું જોઈએ તે તરફનો રૂટ, સાથે LAN રાઉટર જે ટ્રાફિક શાખામાં પાછો મોકલવાનું જાણે. સર્વર બાજુની માલિકી અને ક્લાઇએન્ટ બાજુના ગંતવ્ય રૂટ અલગ વસ્તુઓ છે, અને કાર્યરત ટનલ ફક્ત પ્રથમ કૂદકો સાબિત કરે છે. બંને શાખાની હસ્તાંતરણ નોંધમાં લખો, કારણ કે આગામી ઇજનેરને તેમાંથી ફક્ત એક જ મળશે.

શાખા એ જ પીઅર છે જે તમે ધારો છો તે સાબિત કરવું

ટ્રાફિક ચકાસતાં પહેલાં ઓળખ ચકાસો. હબના લોગમાં શાખાના પ્રમાણપત્રનું સામાન્ય નામ દેખાવું જોઈએ, અને ક્લાઇએન્ટને મળેલું સરનામું તમે ધારેલા સમૂહ કે નિશ્ચિત ફાળવણી સાથે મેળ ખાવું જોઈએ. જો લોગમાં બીજું નામ દેખાય, તો પ્રોફાઇલ બીજા કોઈની ઓળખ રાખે છે.

પછી શાખાના યજમાનથી હબ બાજુના સ્રોત તરફ એક વિનંતી મોકલીને સંલગ્નતા ચકાસો અને ખાતરી કરો કે તે અપેક્ષિત સ્રોત સરનામા સાથે સફળ થાય છે. એવું ગંતવ્ય ચકાસો જ્યાં શાખા પહોંચવી ન જોઈએ અને ખાતરી કરો કે તે નિષ્ફળ જાય છે, કારણ કે સંજોગવશાત્ કામ કરતો છૂટછાટવાળો રૂટ સાચી નીતિ જેવો નથી.

અંતે શાખાની ઓળખ રદ કરો અને ખાતરી કરો કે કનેક્શન નિષ્ફળ જાય છે જ્યારે હબનું પોતાનું પ્રમાણપત્ર અને બીજી સાઇટો કામ કરતી રહે છે. જો રદ કરવાથી હબ તૂટે, તો ભૂમિકાઓ અને ઓળખ ક્યાંક વહેંચાઈ હતી, અને એ જ એવી શોધ છે જે ડિઝાઇન સુધી પાછી લઈ જવા યોગ્ય છે.

પૂર્ણ શાખા એ છે જેની પાસે દસ્તાવેજીકૃત ઓળખ, ફક્ત-ક્લાઇએન્ટ પ્રોફાઇલ, હબ પર પીઅર-થી-નેટવર્ક સંલગ્નતા અને ચકાસાયેલો પરત માર્ગ છે. સર્વર ફાઇલમાં લખાણ ઉલટાવવાથી તમને એમાંથી એક પણ મળતું નથી.