Client Export contro un’istanza OpenVPN in uscita su pfSense

Installate il pacchetto Client Export, lo aprite e il selettore del server è vuoto. La conclusione naturale è che il pacchetto sia rotto o che pfSense non possa affatto agire come client VPN, ed entrambe sono sbagliate. Il selettore è vuoto perché pfSense non ha alcun server di accesso remoto configurato, e il pacchetto non è mai stato lo strumento che fa chiamare il firewall verso l’esterno. Due lavori diversi condividono una parola, e l’elenco vuoto è il suono di uno dei due a cui si chiede qualcosa che non fa.

Decidete chi avvia prima di installare qualsiasi cosa

Ponete una domanda: quale dispositivo avvia la connessione? Se un dipendente in viaggio si collega al firewall dell’ufficio, pfSense è il server e il portatile del dipendente è il client. Il pacchetto che serve in quel caso prepara il materiale per il portatile, perché è il portatile il lato che chiama.

Se pfSense si collega al servizio VPN di qualcun altro, il firewall è il client e l’operatore remoto possiede l’endpoint che chiamate.

Entrambe le situazioni usano la parola client, ed è lì che inizia la confusione. La parola descrive un ruolo in una connessione, non una categoria di prodotto.

L’esportatore è un ausilio lato server

Client Export prende un server di accesso remoto che esiste già su pfSense e produce il materiale di cui ha bisogno un dispositivo che si collega. Legge le impostazioni, i certificati e le opzioni del tunnel di quel server, poi li impacchetta per l’uso altrove.

Per questo il selettore elenca solo server in modalità Remote Access. Senza un tale server non c’è nulla da esportare, e l’elenco vuoto è un rapporto accurato e non un guasto. Create prima il server di accesso remoto e il selettore si riempie da solo. Questo ordine confonde le persone più spesso di qualsiasi impostazione dentro il pacchetto.

Il riferimento del pacchetto dichiara la dipendenza chiaramente. Leggetelo prima di supporre che il pacchetto possa creare il server per voi.

L’istanza in uscita è una configurazione separata

Rendere pfSense client di un altro servizio significa creare l’istanza client OpenVPN con l’endpoint, la porta, il protocollo, le credenziali e il materiale di fiducia di quel fornitore. Netgate lo documenta separatamente dal pacchetto di esportazione, perché è un oggetto diverso nella configurazione.

Installare l’esportatore non compila nessuno di questi campi, e nessun formato di esportazione li genererà per voi. Se il vostro fornitore fornisce un profilo, importate o trascrivete i suoi valori nell’istanza che create.

Tenete le due configurazioni in scatole mentali separate. Una risponde ad altri dispositivi; l’altra chiede un tunnel a un altro server.

Scegliete il formato di esportazione che il dispositivo può consumare

Le esportazioni arrivano come configurazioni inline, archivi raggruppati e programmi di installazione per applicazioni client specifiche. Scegliete in base a ciò che il dispositivo ricevente può davvero importare, non in base a quale download sembra più completo.

Un file inline è comodo per un client che accetta configurazioni incollate. Un archivio porta file separati e si adatta a un client che vuole una cartella. Un programma di installazione presuppone che una certa applicazione sia accettabile su quella piattaforma, il che è una decisione politica oltre che tecnica. Chiedete quale client supporta il team ricevente prima di scaricare qualcosa.

Alcune esportazioni contengono certificati e chiavi private, e la password che protegge quel materiale di chiave può differire dalla password dell’account dell’utente. Consegnate il materiale tramite il canale di registrazione approvato invece di incollare un’esportazione completa in un ticket come esempio di configurazione.

Il sito a sito richiede ruoli e rotte, non un pacchetto

Il tunnel di una filiale è ancora un progetto diverso. Identificate quale endpoint ha il ruolo di server e quale quello di client, poi definite le reti instradate su entrambi i lati prima di configurare qualsiasi cosa.

Client Export non ha opinioni sulle rotte della filiale, sul permesso di inoltro o sul percorso di ritorno, perché preparare il materiale client di accesso remoto è tutto il suo lavoro.

Scrivete prima i ruoli e l’elenco delle rotte, e la questione del pacchetto si risponde da sola. Se sbagliate, nessun formato di esportazione salva il progetto. Lo stesso vale per il percorso di ritorno: una filiale che raggiunge il centro e non può ricevere risposta non è un tunnel funzionante.