რატომ ვერ ხერხდება OpenVPN სერვერის კონფიგურაციის ფილიალში კოპირება
ფილიალის კლიენტს სჭირდება საკუთარი იდენტობა, კლიენტის როლის პროფილი და მარშრუტი, რომელსაც ჰაბი ამ პარტნიორთან აკავშირებს. სერვერის ფაილის კოპირება არასწორ როლს კოპირებს.
მომუშავე სერვერის კონფიგურაციის კოპირება, რამდენიმე მისამართის შეცვლა და ამის ფილიალის პროფილი დარქმევა ჩვეულებრივ კავშირს იძლევა. ეს ყველაზე ცუდი შედეგია, რადგან ფილიალი შემდეგ არასწორი როლით მუშაობს, ამჟღავნებს მასალას, რომელიც არ უნდა გავიდეს ჰაბიდან, და ტოვებს მარშრუტის ასოციაციას, რომლის შექმნაც არავის ახსოვს. კავშირი სამ პრობლემას ერთდროულად მალავს და გვირაბი ადის მანამ, სანამ ვინმე მათ შეამოწმებს.
ფილიალისადმი როგორც საკუთარი იდენტობისა და ქსელური როლის მქონე პარტნიორისადმი დამოკიდებულება არის ის, რაც პროფილს სწორს ხდის. შესწორება უკეთესი ასლი არ არის და ამ გვერდის დარჩენილი ნაწილი იმაზეა, თუ რა უნდა ჰქონდეს კლიენტს სინამდვილეში.
ორი როლი, რომლებიც ერთ ფაილს ჰგავს
TLS რეჟიმში ორ მხარეს ერთმანეთის დამატებითი ამოცანები აქვთ. ერთი მხარე უსმენს, ინახავს სერვერის სერტიფიკატსა და გასაღებს და წყვეტს, რომელ კლიენტებს შეუძლიათ დაკავშირება. მეორე მხარე იწყებს, ამოწმებს მსმენელს და წარმოადგენს საკუთარ იდენტობას.
სერვერის ფაილი შეიცავს დირექტივებს, რომლებსაც კლიენტზე აზრი არ აქვთ: მიბმის მისამართი და პორტი მოსასმენად, მისამართების აუზი გასანაწილებლად და ხშირად ბიძგის სია იმ პარამეტრებისთვის, რომლებიც კლიენტებმა უნდა მიიღონ. მათი ფილიალში კოპირება ქმნის მოწყობილობას, რომელიც ერთდროულად ცდილობს იყოს მსმენელიც და კლიენტიც.
კერძო გასაღები ყველაზე მნიშვნელოვანი ნაწილია. კლიენტმა არასოდეს უნდა ატაროს სერვერის კერძო გასაღები და მას CA-ის ხელმოწერის გასაღებიც არ სჭირდება. CA სერტიფიკატი საჯარო ნდობის მასალაა; ხელმოწერის გასაღები იქ ეკუთვნის, სადაც სერტიფიკატები გაიცემა.
რა უნდა შეიცავდეს ფილიალის პროფილი
ფილიალის პროფილს სჭირდება შორეული ბოლო წერტილი და ტრანსპორტი, სერვერის სანდო იდენტობა, თავად ფილიალის სერტიფიკატი და გასაღები, და ის მარშრუტები და DNS პარამეტრები, რომლებიც ფილიალს ნამდვილად სჭირდება. სხვა არაფერია სავალდებულო.
ფილიალის იდენტობა ცალ-ცალკე შეინახეთ თითოეული უბნისთვის. ორი ფილიალი ერთ სერტიფიკატს თუ იზიარებს, ერთის გაუქმება მეორეს გამორთავს და ჰაბის ჟურნალები ვერ განასხვავებს მათ. უბნის მიხედვით იდენტობა არის ის, რაც ამუშავებს როგორც აუდიტის კვალს, ისე გაუქმების ისტორიას.
ფრთხილად იყავით მოწყობილობების სამუშაო ნაკადებთან. pfSense-ის Client Export პაკეტი პროფილებს ქმნის შესაბამისი Remote Access კონტექსტებისთვის და მისი სერვერების სია მოიცავს მხოლოდ Remote Access რეჟიმში კონფიგურირებულ სერვერებს. სხვა რეჟიმის უბან-უბან სერვერი არ ჩნდება და ეს არყოფნა ინფორმაციაა, არა მოწვევა სერვერის საიდუმლოებების კოპირებისთვის.
თუ მოწყობილობა არ ახდენს თქვენთვის საჭირო პროფილის ექსპორტს, გამოიყენეთ მისი დოკუმენტირებული უბან-უბან კლიენტის სამუშაო ნაკადი ან ააგეთ პროფილი დაყენებული ვერსიის მხარდაჭერილი მაგალითიდან. სერვერის სარეზერვო ასლი ფილიალში გაიტანეთ მხოლოდ მაშინ, თუ გეგმა სერვერის აღდგენაა, რაც ასე არ არის. სარეზერვო ასლი ასევე ატარებს ჰაბის კერძო მასალას, ამიტომ მისი ფილიალში გადატანა გასაღებებთან მოპყრობის გადაწყვეტილებაა, არა ფაილის გადაცემა. შეინახეთ ის ჰაბზე და შექმენით კლიენტის იდენტობა იქ, სადაც სერტიფიკატები გაიცემა.
პარტნიორ-ქსელის ასოციაცია ცალკეა
წარმატებით დაკავშირებული ფილიალის კლიენტი ჯერ კიდევ ვერ გაატარებს ტრაფიკს თავისი LAN-ისთვის, სანამ ჰაბი არ გაიგებს, რომ ეს პარტნიორი ფლობს ამ პრეფიქსს. ეს ასოციაცია ჰაბზე ცხოვრობს, კლიენტის იდენტობაზე მიბმული, და ცალკეა ფილიალის საკუთარი მარშრუტისგან შორეული ქსელებისკენ. მის გარეშე ფილიალის ჰოსტები გვირაბის სტატისტიკაში მისაწვდომად ჩანან, პრაქტიკაში კი მიუწვდომლები არიან. ჰაბის ჟურნალი ის ადგილია, სადაც დასტურდება, გამოყენებულია თუ არა ასოციაცია.
ჰაბის ოპერაციულ სისტემაში მარშრუტის დამატება იგივე არ არის, რაც OpenVPN-ისთვის იმის თქმა, რომელი კლიენტი ფლობს პრეფიქსს. თითოეული კლიენტის ასოციაციის გარეშე პაკეტი გვირაბის ინტერფეისამდე აღწევს და იხსნება, რადგან არც ერთი პარტნიორი არ ითხოვს დანიშნულებას.
ფილიალის მხარეს შესაბამისი საჭიროებაა მარშრუტი იმ ქსელებისკენ, რომლებსაც უნდა მიაღწიოს, პლუს LAN მარშრუტიზატორი, რომელმაც იცის, როგორ დააბრუნოს ტრაფიკი ფილიალში. სერვერის მხარეს საკუთრება და კლიენტის მხარეს დანიშნულების მარშრუტები განსხვავებული ობიექტებია და მომუშავე გვირაბი მხოლოდ პირველ ნახტომს ამტკიცებს. ორივე ჩაწერეთ ფილიალის გადაცემის ჩანაწერებში, რადგან შემდეგი ინჟინერი მათგან მხოლოდ ერთს იპოვის.
იმის დამტკიცება, რომ ფილიალი ის პარტნიორია, რომელიც გგონიათ
იდენტობა შეამოწმეთ ტრაფიკის შემოწმებამდე. ჰაბის ჟურნალმა უნდა აჩვენოს ფილიალის სერტიფიკატის საერთო სახელი, ხოლო კლიენტის მიერ მიღებული მისამართი უნდა შეესაბამებოდეს თქვენ მიერ განზრახულ აუზს ან ფიქსირებულ მინიჭებას. თუ ჟურნალი სხვა სახელს აჩვენებს, პროფილი სხვის იდენტობას ატარებს.
შემდეგ შეამოწმეთ ასოციაცია ფილიალის ჰოსტიდან ჰაბის მხარეს რესურსზე ერთი მოთხოვნის გაგზავნით და დაადასტურეთ, რომ ის წარმატებულია მოსალოდნელი წყაროს მისამართით. გამოსცადეთ დანიშნულება, სადაც ფილიალი არ უნდა მივიდეს, და დაადასტურეთ, რომ ის ვერ ხერხდება, რადგან შემთხვევით მომუშავე ნებადართული მარშრუტი იგივე არ არის, რაც სწორი პოლიტიკა.
დაბოლოს, გააუქმეთ ფილიალის იდენტობა და დაადასტურეთ, რომ კავშირი ვერ ხერხდება, მაშინ როცა ჰაბის საკუთარი სერტიფიკატი და სხვა უბნები აგრძელებენ მუშაობას. თუ გაუქმებამ ჰაბი გატეხა, როლები და იდენტობები სადღაც იყო გაზიარებული, და ეს არის ის აღმოჩენა, რომლის დიზაინში დაბრუნებაც ღირს.
დასრულებული ფილიალი არის ის, რომელსაც აქვს დოკუმენტირებული იდენტობა, მხოლოდ კლიენტის პროფილი, პარტნიორ-ქსელის ასოციაცია ჰაბზე და გამოცდილი დაბრუნების გზა. სერვერის ფაილში ტექსტის შებრუნება ამათგან არც ერთს არ გაძლევთ.