pfSense における Client Export と外向き OpenVPN インスタンスの違い

Client Export パッケージをインストールして開くと、サーバー選択欄が空です。そこで「パッケージが壊れている」か「pfSense は VPN クライアントになれない」と結論しがちですが、どちらも誤りです。選択欄が空なのは、pfSense にリモートアクセスサーバーが設定されていないからであり、このパッケージはもともとファイアウォールから外へ発信させるための道具ではありません。二つの別の作業が同じ言葉を共有しており、空の一覧は、片方にその仕事ではないものを求めている音なのです。

何かをインストールする前に、どちらが開始するかを決める

質問は一つです。どの機器が接続を開始するのか。出張中の社員がオフィスのファイアウォールに接続するなら、pfSense がサーバーで、社員のノート PC がクライアントです。その場合に必要なパッケージはノート PC 向けの材料を用意します。発信するのはノート PC 側だからです。

pfSense が他社の VPN サービスへ接続するなら、ファイアウォールがクライアントで、接続先の端点は遠隔の運営者が持っています。

どちらの状況もクライアントという言葉を使う。混乱はここから始まる。この言葉は一つの接続における役割を表すのであって、製品の分類ではありません。

エクスポーターはサーバー側の補助役

Client Export は、pfSense にすでに存在するリモートアクセスサーバーを取り、接続する機器が必要とする材料を生成します。そのサーバーの設定、証明書、トンネルのオプションを読み取り、別の場所で使えるようにまとめます。

だから選択欄には Remote Access モードのサーバーだけが並びます。そのようなサーバーがなければ書き出すものはなく、空の一覧は不具合ではなく正確な報告です。先にリモートアクセスサーバーを作れば、選択欄はひとりでに埋まります。この順序は、パッケージ内のどの設定よりも人を戸惑わせます。

パッケージのリファレンス はこの依存関係をはっきり書いています。パッケージがサーバーを作ってくれると決めつける前に、読んでください。

外向きインスタンスは別の設定

pfSense を別サービスのクライアントにするとは、OpenVPN のクライアントインスタンスを、その事業者の端点、ポート、プロトコル、資格情報、信頼材料とともに作ることです。Netgate はこれをエクスポートパッケージとは別に文書化しています。設定上の別のオブジェクトだからです。

エクスポーターをインストールしても、これらの欄はどれも埋まりませんし、どのエクスポート形式もそれらを生成してはくれません。事業者がプロファイルを提供する場合は、その値を自分で作ったインスタンスへ取り込むか書き写します。

二つの設定は別々の頭の箱にしまってください。一方は他の機器に答え、もう一方は別のサーバーにトンネルを求めます。

機器が使えるエクスポート形式を選ぶ

エクスポートには、インライン設定、まとめたアーカイブ、特定のクライアントアプリ向けのインストーラーがあります。どれが最も完全に見えるかではなく、受け取る機器が実際に取り込めるかで選んでください。

インラインファイルは、貼り付けた設定を受け付けるクライアントに便利です。バンドルは個別のファイルを運び、ディレクトリを求めるクライアントに向きます。インストーラーは、そのプラットフォームで特定のアプリが許容されることを前提にしており、これは技術的判断であると同時に方針の判断でもあります。何かをダウンロードする前に、受け取る側のチームがどのクライアントを支援するかを尋ねてください。

エクスポートには証明書と秘密鍵が含まれることがあり、その鍵材料を守るパスワードは利用者のアカウントのパスワードと異なる場合があります。完全なエクスポートを設定例としてチケットに貼るのではなく、承認された登録経路で材料を渡してください。

拠点間接続に必要なのはパッケージではなく役割と経路

支店トンネルはまた別の設計です。どちらの端点がサーバー役で、どちらがクライアント役かを特定し、何かを設定する前に両側の経路対象ネットワークを定義してください。

Client Export は支店の経路、転送の許可、戻り経路について何の意見も持ちません。リモートアクセスのクライアント材料を用意することが、その仕事のすべてだからです。

まず役割と経路の一覧を書き出せば、パッケージの問いはひとりでに答えが出ます。これを間違えると、どのエクスポート形式も設計を救いません。戻り経路も同じです。中央に届いても応答を受け取れない支店は、動くトンネルではありません。