Client Export לעומת מופע OpenVPN יוצא ב-pfSense

אתם מתקינים את חבילת Client Export, פותחים אותה, ובורר השרת ריק. המסקנה הטבעית היא שהחבילה שבורה או ש-pfSense אינו יכול לשמש כלקוח VPN כלל, ושתי אלה שגויות. הבורר ריק מפני שב-pfSense לא הוגדר שרת גישה מרחוק, והחבילה מעולם לא הייתה הכלי שגורם לחומת האש לחייג החוצה. שתי משימות שונות חולקות מילה אחת, והרשימה הריקה היא הקול של אחת מהן שמבקשים ממנה משהו שהיא אינה עושה.

החליטו מי מתחיל לפני התקנת משהו

שאלו שאלה אחת: איזה מכשיר מתחיל את החיבור? אם עובד בנסיעה מתחבר לחומת האש של המשרד, pfSense הוא השרת והמחשב הנייד של העובד הוא הלקוח. החבילה שתצטרכו במקרה כזה מכינה חומר למחשב הנייד, מפני שהמחשב הנייד הוא הצד שמחייג.

אם pfSense מתחבר לשירות VPN של מישהו אחר, חומת האש היא הלקוח והמפעיל המרוחק מחזיק בנקודת הקצה שאליה אתם מחייגים.

שני המצבים משתמשים במילה לקוח, ושם מתחילה הבלבול. המילה מתארת תפקיד בחיבור אחד, לא קטגוריית מוצר.

המייצא הוא עוזר בצד השרת

Client Export לוקח שרת גישה מרחוק שכבר קיים ב-pfSense ומפיק את החומר שמכשיר מתחבר זקוק לו. הוא קורא את ההגדרות, האישורים ואפשרויות המנהרה של אותו שרת, ואז אורז אותם לשימוש במקום אחר.

לכן הבורר מציג רק שרתים במצב Remote Access. בלי שרת כזה אין מה לייצא, והרשימה הריקה היא דוח מדויק ולא תקלה. צרו קודם את שרת הגישה מרחוק והבורר יתמלא מעצמו. הסדר הזה מבלבל אנשים לעתים קרובות יותר מכל הגדרה בתוך החבילה.

תיעוד החבילה מציין את התלות בבירור. קראו אותו לפני שאתם מניחים שהחבילה יכולה ליצור עבורכם את השרת.

המופע היוצא הוא תצורה נפרדת

להפוך את pfSense ללקוח של שירות אחר פירושו ליצור OpenVPN מופע לקוח עם נקודת הקצה, הפורט, הפרוטוקול, פרטי ההזדהות וחומר האמון של אותו ספק. Netgate מתעדת זאת בנפרד מחבילת הייצוא, מפני שזה אובייקט אחר בתצורה.

התקנת המייצא אינה ממלאת אף אחד מהשדות האלה, ואף תבנית ייצוא לא תייצר אותם עבורכם. אם הספק שלכם מספק פרופיל, אתם מייבאים או מעתיקים את ערכיו למופע שאתם יוצרים.

החזיקו את שתי התצורות בקופסאות מנטליות נפרדות. האחת עונה למכשירים אחרים; האחרת מבקשת מנהרה משרת אחר.

בחרו בתבנית הייצוא שהמכשיר יכול לצרוך

ייצוא מגיע כתצורות מוטמעות, ארכיונים ארוזים ומתקינים ליישומי לקוח מסוימים. בחרו לפי מה שהמכשיר המקבל באמת יכול לייבא, לא לפי איזו הורדה נראית המלאה ביותר.

קובץ מוטמע נוח ללקוח שמקבל תצורה מודבקת. חבילה נושאת קבצים נפרדים ומתאימה ללקוח שרוצה תיקייה. מתקין מניח שיישום מסוים מקובל באותה פלטפורמה, וזו החלטת מדיניות לא פחות מאשר החלטה טכנית. שאלו איזה לקוח הצוות המקבל תומך בו לפני שתורידו משהו.

יש ייצוא שמכיל אישורים ומפתחות פרטיים, והסיסמה שמגנה על חומר המפתח הזה יכולה להיות שונה מסיסמת החשבון של המשתמש. מסרו את החומר בערוץ ההרשמה המאושר במקום להדביק ייצוא מלא בכרטיס כחומר תצורה לדוגמה.

אתר לאתר צריך תפקידים ומסלולים, לא חבילה

מנהרת סניף היא שוב תכנון אחר. זהו איזו נקודת קצה מחזיקה בתפקיד השרת ואיזו בתפקיד הלקוח, ואז הגדירו את הרשתות המנותבות בשני הצדדים לפני שתגדירו משהו.

ל-Client Export אין דעה על המסלולים של הסניף, הרשאת ההעברה או נתיב החזרה, מפני שהכנת חומר לקוח לגישה מרחוק היא כל עבודתו.

כתבו קודם את התפקידים ואת רשימת המסלולים, ושאלת החבילה עונה לעצמה. אם תטעו, שום תבנית ייצוא לא תציל את התכנון. כך גם בנתיב החזרה: סניף שמגיע למרכז ואינו יכול לקבל תשובה אינו מנהרה עובדת.