Ինչու է ձախողվում OpenVPN սերվերի կարգավորման պատճենումը մասնաճյուղ
Մասնաճյուղի հաճախորդին պետք են սեփական ինքնություն, հաճախորդի դերով պրոֆիլ և երթուղի, որը հանգույցը կապում է այդ գործընկերոջ հետ։ Սերվերի ֆայլը պատճենելը պատճենում է սխալ դերը։
Աշխատող սերվերի կարգավորումը պատճենելը, մի քանի հասցե փոխելը և այն մասնաճյուղի պրոֆիլ անվանելը սովորաբար միացում է ստեղծում։ Դա ամենավատ արդյունքն է, որովհետև մասնաճյուղը հետո աշխատում է սխալ դերով, բացահայտում է նյութ, որը չպետք է լքի հանգույցը, և թողնում է երթուղու կապակցում, որը ոչ ոք չի հիշում, թե ինքն է ստեղծել։ Միացումը թաքցնում է երեք խնդիր միանգամից, և թունելը բարձրանում է նախքան որևէ մեկը կստուգի դրանք։
Մասնաճյուղին որպես սեփական ինքնությամբ և ցանցային դերով գործընկեր վերաբերվելն է, որ պրոֆիլը ճիշտ է դարձնում։ Ուղղումը ավելի լավ պատճեն չէ, և այս էջի մնացածը այն մասին է, թե ինչ պետք է իրականում պահի հաճախորդը։
Երկու դեր, որոնք նման են մեկ ֆայլի
TLS ռեժիմում երկու կողմերն ունեն լրացնող առաջադրանքներ։ Մի կողմը լսում է, պահում է սերվերի վկայականն ու բանալին և որոշում, թե որ հաճախորդները կարող են միանալ։ Մյուս կողմը սկսում է, ստուգում է լսողին և ներկայացնում իր ինքնությունը։
Սերվերի ֆայլը պարունակում է հրահանգներ, որոնք հաճախորդի վրա իմաստ չունեն՝ կապելու հասցե և պորտ լսելու համար, հասցեների լողավազան բաշխելու համար և հաճախ հրող ցուցակ այն կարգավորումների համար, որոնք պետք է ստանան հաճախորդները։ Դրանք մասնաճյուղ պատճենելը ստեղծում է սարք, որը միաժամանակ փորձում է լինել լսող և հաճախորդ։
Մասնավոր բանալին ամենակարևոր մասն է։ Հաճախորդը երբեք չպետք է կրի սերվերի մասնավոր բանալին, և նրան պետք չէ նաև CA-ի ստորագրման բանալին։ CA վկայականը հանրային վստահության նյութ է. ստորագրման բանալին պատկանում է այնտեղ, որտեղ վկայականներ են տրվում։
Ինչ պետք է պարունակի մասնաճյուղի պրոֆիլը
Մասնաճյուղի պրոֆիլին պետք են հեռավոր վերջնակետը և փոխադրումը, վստահելի սերվերի ինքնությունը, մասնաճյուղի սեփական վկայականն ու բանալին, և այն երթուղիներն ու DNS կարգավորումները, որոնք մասնաճյուղին իրականում անհրաժեշտ են։ Ուրիշ ոչինչ պարտադիր չէ։
Մասնաճյուղի ինքնությունը առանձին պահեք յուրաքանչյուր տեղամասի համար։ Երկու մասնաճյուղեր մեկ վկայական կիսելը նշանակում է, որ մեկի չեղարկումն անջատում է մյուսին, և հանգույցի մատյանները չեն կարող տարբերել նրանց։ Տեղամասային ինքնությունն է, որ աշխատեցնում է և՛ աուդիտի հետքը, և՛ չեղարկման պատմությունը։
Զգույշ եղեք սարքերի աշխատահոսքերի հետ։ pfSense-ի Client Export փաթեթը պրոֆիլներ է ստեղծում համապատասխան Remote Access համատեքստերի համար, և նրա սերվերների ցանկը ներառում է միայն Remote Access ռեժիմում կարգավորված սերվերներ։ Այլ ռեժիմի տեղամաս-տեղամաս սերվեր չի հայտնվում, և այդ բացակայությունը տեղեկություն է, ոչ թե հրավեր՝ պատճենելու սերվերի գաղտնիքները։
Եթե սարքը չի արտահանում ձեզ անհրաժեշտ պրոֆիլը, օգտագործեք նրա փաստաթղթավորված տեղամաս-տեղամաս հաճախորդի աշխատահոսքը կամ կառուցեք պրոֆիլը տեղադրված թողարկման աջակցվող օրինակից։ Սերվերի պահուստային պատճենը մասնաճյուղ արտահանեք միայն այն դեպքում, երբ ծրագիրը սերվեր վերականգնելն է, ինչը չէ։ Պահուստը կրում է նաև հանգույցի մասնավոր նյութը, ուստի այն մասնաճյուղ տեղափոխելը բանալիների հետ վարվելու որոշում է, ոչ թե ֆայլի փոխանցում։ Պահեք այն հանգույցում և ստեղծեք հաճախորդի ինքնությունը այնտեղ, որտեղ վկայականներ են տրվում։
Գործընկեր-ցանց կապակցումն առանձին է
Հաջող միացող մասնաճյուղի հաճախորդը դեռ չի կարող իր LAN-ի երթևեկություն անցկացնել, քանի դեռ հանգույցը չգիտի, որ այս գործընկերը տիրապետում է այդ նախածանցին։ Այդ կապակցումն ապրում է հանգույցում, կապված հաճախորդի ինքնության հետ, և առանձին է մասնաճյուղի սեփական երթուղուց դեպի հեռավոր ցանցերը։ Առանց դրա մասնաճյուղի հոսթերը թունելի վիճակագրության մեջ հասանելի են թվում, իսկ գործնականում՝ անհասանելի։ Հանգույցի մատյանն այն տեղն է, որտեղ հաստատվում է՝ արդյոք կապակցումը կիրառվել է։
Հանգույցի օպերացիոն համակարգում երթուղի ավելացնելը նույնը չէ, ինչ OpenVPN-ին ասելը, թե որ հաճախորդն է տիրապետում նախածանցին։ Առանց յուրաքանչյուր հաճախորդի կապակցման՝ փաթեթը հասնում է թունելի ինտերֆեյսին և դեն է նետվում, որովհետև ոչ մի գործընկեր չի պահանջում նպատակակետը։
Մասնաճյուղի կողմում համապատասխան կարիքը երթուղին է դեպի այն ցանցերը, որոնց նա պետք է հասնի, գումարած LAN երթուղիչ, որը գիտի, թե ինչպես երթևեկությունը վերադարձնի մասնաճյուղ։ Սերվերի կողմի սեփականությունը և հաճախորդի կողմի նպատակակետային երթուղիները տարբեր օբյեկտներ են, և աշխատող թունելը միայն առաջին ցատկն է ապացուցում։ Գրեք երկուսն էլ մասնաճյուղի հանձնման նշումներում, որովհետև հաջորդ ինժեները կգտնի դրանցից միայն մեկը։
Ապացուցել, որ մասնաճյուղը հենց այն գործընկերն է, ինչ դուք կարծում եք
Ստուգեք ինքնությունը նախքան երթևեկությունը ստուգելը։ Հանգույցի մատյանը պետք է ցույց տա մասնաճյուղի վկայականի ընդհանուր անունը, և հաճախորդի ստացած հասցեն պետք է համապատասխանի ձեր նախատեսած լողավազանին կամ ֆիքսված նշանակմանը։ Եթե մատյանը ցույց է տալիս այլ անուն, պրոֆիլը կրում է ուրիշի ինքնությունը։
Ապա ստուգեք կապակցումը՝ ուղարկելով մեկ հարցում մասնաճյուղի հոսթից դեպի հանգույցի կողմի ռեսուրս, և հաստատեք, որ այն հաջողվում է սպասված աղբյուրի հասցեով։ Փորձարկեք մի նպատակակետ, ուր մասնաճյուղը չպետք է հասնի, և հաստատեք, որ այն ձախողվում է, որովհետև պատահաբար աշխատող թույլատրող երթուղին նույնը չէ, ինչ ճիշտ քաղաքականությունը։
Վերջապես չեղարկեք մասնաճյուղի ինքնությունը և հաստատեք, որ միացումը ձախողվում է, մինչ հանգույցի սեփական վկայականը և այլ տեղամասերը շարունակում են աշխատել։ Եթե չեղարկումը կոտրում է հանգույցը, ապա դերերն ու ինքնությունները ինչ-որ տեղ կիսվել են, և դա այն հայտնագործությունն է, որ արժե վերադարձնել նախագծին։
Ավարտված մասնաճյուղն այն է, որն ունի փաստաթղթավորված ինքնություն, միայն հաճախորդի պրոֆիլ, հանգույցում գործընկեր-ցանց կապակցում և փորձարկված վերադարձի ուղի։ Սերվերի ֆայլում տեքստը շրջելը ձեզ դրանցից ոչ մեկը չի տալիս։