Zašto kopiranje konfiguracije OpenVPN poslužitelja u podružnicu ne uspijeva

Kopiranje ispravne poslužiteljske konfiguracije, zamjena nekoliko adresa i nazivanje toga profilom podružnice obično proizvede vezu. To je najgori ishod, jer podružnica zatim radi s pogrešnom ulogom, izlaže materijal koji ne bi smio napustiti čvorište i ostavlja povezanost rute koje se nitko ne sjeća da ju je napravio. Veza skriva tri problema odjednom, a tunel se podiže prije nego ih itko provjeri.

Tretiranje podružnice kao partnera s vlastitim identitetom i mrežnom ulogom čini profil ispravnim. Popravak nije bolja kopija, a ostatak ove stranice govori o tome što klijent doista treba držati.

Dvije uloge koje izgledaju kao jedna datoteka

U TLS načinu dvije strane imaju komplementarne zadatke. Jedna strana sluša, drži certifikat i ključ poslužitelja i odlučuje koji se klijenti smiju povezati. Druga strana pokreće vezu, provjerava slušatelja i predstavlja vlastiti identitet.

Datoteka poslužitelja sadrži direktive koje na klijentu nemaju smisla: adresu vezanja i port za slušanje, skup adresa za dodjelu i često popis za guranje postavki koje klijenti trebaju primiti. Kopiranje toga u podružnicu stvara uređaj koji istodobno pokušava biti slušatelj i klijent.

Privatni ključ je dio koji je najvažniji. Klijent nikada ne smije nositi privatni ključ poslužitelja i ne treba mu ni ključ za potpisivanje CA-a. Certifikat CA je javni materijal povjerenja; ključ za potpisivanje pripada tamo gdje se certifikati izdaju.

Što profil podružnice mora sadržavati

Profil podružnice treba udaljenu krajnju točku i prijenos, pouzdani identitet poslužitelja, vlastiti certifikat i ključ podružnice te rute i DNS postavke koje podružnica doista zahtijeva. Ništa drugo nije obvezno.

Držite identitet podružnice odvojen za svako mjesto. Dvije podružnice koje dijele jedan certifikat znače da opoziv jedne onemogućuje drugu, a zapisnici čvorišta ne mogu ih razlikovati. Identitet po mjestu čini radnim i revizijski trag i priču o opozivu.

Budite pažljivi s postupcima na uređajima. pfSenseov paket Client Export stvara profile za prikladne kontekste Remote Access i njegov popis poslužitelja uključuje samo poslužitelje postavljene u načinu Remote Access. Poslužitelj mjesto-na-mjesto drugačijeg načina ne pojavljuje se, a ta odsutnost je informacija, ne poziv da kopirate tajne poslužitelja.

Ako uređaj ne izvozi profil koji trebate, upotrijebite njegov dokumentirani postupak klijenta mjesto-na-mjesto ili sastavite profil iz podržanog primjera instaliranog izdanja. Izvezite sigurnosnu kopiju poslužitelja u podružnicu samo ako je plan obnoviti poslužitelj, a to nije slučaj. Kopija nosi i privatni materijal čvorišta, pa je premještanje kopije u podružnicu odluka o rukovanju ključevima, ne prijenos datoteke. Držite ju na čvorištu i stvorite identitet klijenta tamo gdje se certifikati izdaju.

Povezanost partnera s mrežom je odvojena

Klijent podružnice koji se uspješno poveže još ne može propuštati promet za svoj LAN dok čvorište ne zna da ovaj partner posjeduje taj prefiks. Ta povezanost živi na čvorištu, vezana uz identitet klijenta, i odvojena je od vlastite rute podružnice prema udaljenim mrežama. Bez nje se računala podružnice u statistici tunela čine dostupnima, a u praksi su nedostupna. Zapisnik čvorišta je mjesto na kojem se potvrđuje je li povezanost primijenjena.

Dodavanje rute u operacijskom sustavu čvorišta nije isto što i reći OpenVPN-u koji klijent posjeduje prefiks. Bez povezanosti po klijentu paket stiže do sučelja tunela i biva odbačen jer nijedan partner ne polaže pravo na odredište.

Na strani podružnice odgovarajuća potreba je ruta prema mrežama koje treba dosegnuti, uz LAN usmjerivač koji zna vratiti promet u podružnicu. Vlasništvo na strani poslužitelja i odredišne rute na strani klijenta različiti su objekti, a tunel koji radi dokazuje samo prvi skok. Zapišite oboje u predajne bilješke podružnice, jer će sljedeći inženjer naći samo jedno od toga.

Dokazivanje da je podružnica partner kojeg mislite

Provjerite identitet prije provjere prometa. Zapisnik čvorišta treba pokazati uobičajeno ime certifikata podružnice, a adresa koju je klijent primio treba odgovarati skupu ili fiksnoj dodjeli koju ste namjeravali. Ako zapisnik pokaže drugo ime, profil nosi tuđi identitet.

Zatim provjerite povezanost slanjem jednog zahtjeva s računala u podružnici prema izvoru na strani čvorišta i potvrdite da uspijeva s očekivanom izvorišnom adresom. Isprobajte odredište do kojeg podružnica ne smije doći i potvrdite da ne uspijeva, jer dopuštajuća ruta koja slučajno radi nije isto što i ispravna politika.

Naposljetku opozovite identitet podružnice i potvrdite da veza ne uspijeva dok vlastiti certifikat čvorišta i druga mjesta nastavljaju raditi. Ako opoziv slomi čvorište, uloge i identiteti bili su negdje dijeljeni, i to je nalaz koji vrijedi vratiti u dizajn.

Dovršena podružnica je ona s dokumentiranim identitetom, profilom samo za klijenta, povezanošću partnera s mrežom na čvorištu i ispitanim povratnim putem. Okretanje teksta u datoteci poslužitelja ne daje vam ništa od toga.