Hvers vegna að afrita OpenVPN-þjónstillingu í útibú mistekst

Að afrita virku þjónstillingu, skipta um nokkur netföng og kalla það útibúsprófíl skilar yfirleitt tengingu. Það er versta niðurstaðan, því útibúið keyrir þá með rangt hlutverk, afhjúpar efni sem ætti ekki að yfirgefa húsið og skilur eftir slóðatengingu sem enginn man eftir að hafa búið til. Tengingin felur þrjú vandamál í einu, og göngin rísa áður en nokkur athugar þau.

Að meðhöndla útibúið sem jafningja með eigin auðkenni og netverki er það sem gerir prófílinn réttan. Lagfæringin er ekki betri afrit, og afgangur þessarar síðu fjallar um hvað biðlari ætti í raun að halda.

Tvö hlutverk sem líta út eins og ein skrá

Í TLS-stillingu hafa hliðarnar tvær samhliða verkefni. Önnur hliðin hlustar, geymir skírteini og lykil þjónsins og ákveður hvaða biðlarar mega tengjast. Hin hliðin hefur frumkvæði, staðfestir hlustandann og sýnir eigið auðkenni.

Þjónskrá inniheldur fyrirmæli sem hafa enga merkingu á biðlara: bindifyrirskip og gátt til að hlusta á, safn netfanga til að úthluta og oft ýtilisti fyrir stillingar sem biðlararnir eiga að fá. Að afrita þau í útibú býr til tæki sem reynir að vera hlustandi og biðlari á sama tíma.

Einkalykillinn er mikilvægasti hlutinn. Biðlari má aldrei bera einkalykil þjónsins, og hann þarf heldur ekki undirskriftarlykil CA. CA-skírteini er opinbert traustsefni; undirskriftarlykillinn tilheyrir þar sem skírteini eru gefin út.

Hvað útibúsprófíll verður að innihalda

Útibúsprófíll þarf fjarlæga endapunktinn og flutninginn, traust auðkenni þjónsins, eigið skírteini og lykil útibúsins, og slóðirnar og DNS-stillingarnar sem útibúið þarf í raun. Ekkert annað er skylt.

Haltu auðkenni útibúsins aðskildu fyrir hvern stað. Tvö útibú sem deila einu skírteini þýða að afturköllun eins gerir hitt óvirkt, og skrár hússins geta ekki greint þau að. Auðkenni fyrir hvern stað er það sem lætur bæði endurskoðunarferilinn og afturköllunarsöguna virka.

Vertu varkár með vinnuflæði tækja. Client Export pakki pfSense býr til prófíla fyrir gjaldgeng Remote Access samhengi, og þjónalisti hans inniheldur aðeins þjóna sem stilltir eru í Remote Access stillingu. Þjónn staðar-til-staðar í annarri stillingu birtist ekki, og sú fjarvera er upplýsing, ekki boð um að afrita leyndarmál þjónsins.

Ef tækið flytur ekki út prófílinn sem þú þarft, notaðu skjalfest vinnuflæði biðlara staðar-til-staðar eða byggðu prófílinn upp úr studdu dæmi uppsettrar útgáfu. Flyttu þjónavaraleiðslu út í útibúið aðeins ef áætlunin er að endurheimta þjón, sem hún er ekki. Afrit ber einnig einkaeign hússins, svo að flytja eitt í útibú er ákvörðun um meðferð lykla, ekki skráaflutningur. Haltu því í húsinu og búðu til auðkenni biðlarans þar sem skírteini eru gefin út.

Tenging jafningja við netið er aðskilin

Biðlari í útibúi sem tengist með góðum árangri getur samt ekki sent umferð fyrir LAN-ið sitt fyrr en húsið veit að þessi jafningi á þetta forskeyti. Sú tenging býr í húsinu, bundin auðkenni biðlarans, og er aðskilin frá eigin slóð útibúsins að fjarlægu netunum. Án hennar virðast hýslar útibúsins aðgengileg í tölfræði gagnanna og eru það ekki í reynd. Skrá hússins er staðurinn til að staðfesta hvort tengingin var notuð.

Að bæta slóð við stýrikerfi hússins er ekki sama og að segja OpenVPN hvaða biðlari á forskeytið. Án tengingar fyrir hvern biðlara nær pakkinn að viðmóti gagnanna og er hent því enginn jafningi krefst áfangastaðarins.

Á útibúshliðinni er samsvarandi þörf slóð að netunum sem það á að ná til, ásamt LAN-beini sem veit hvernig á að skila umferð til útibúsins. Eign á þjónahlið og áfangastaðaslóðir á biðlarahlið eru aðskildir hlutir, og virk göng sanna aðeins fyrsta stökkið. Skrifaðu bæði í afhendingarnótur útibúsins, því næsti verkfræðingur finnur aðeins annað þeirra.

Að sanna að útibúið sé jafninginn sem þú heldur

Staðfestu auðkennið áður en þú staðfestir umferðina. Skrá hússins ætti að sýna algengt nafn skírteinis útibúsins, og netfangið sem biðlarinn fékk ætti að passa við safnið eða fasta úthlutunina sem þú ætlaðir. Ef skráin sýnir annað nafn ber prófíllinn auðkenni einhvers annars.

Staðfestu síðan tenginguna með því að senda eina beiðni frá hýsli í útibúinu til auðlindar á húshlið og staðfestu að hún takist með væntu upprunanetfangi. Prófaðu áfangastað sem útibúið má ekki ná til og staðfestu að hann mistakist, því leyfandi slóð sem virkar fyrir tilviljun er ekki það sama og rétt stefna.

Að lokum skaltu afturkalla auðkenni útibúsins og staðfesta að tengingin mistakist á meðan skírteini hússins sjálfs og aðrir staðir halda áfram að virka. Ef afturköllunin brýtur húsið voru hlutverk og auðkenni deild einhvers staðar, og það er sú niðurstaða sem er þess virði að taka aftur inn í hönnunina.

Fullbúið útibú er það sem hefur skjalfest auðkenni, prófíl eingöngu fyrir biðlara, tengingu jafningja við netið í húsinu og prófaða endurkomuleið. Að snúa texta í þjónskrá gefur þér ekkert af þessu.