OpenVPN серверінің конфигурациясын филиалға көшіру неге сәтсіз болады

Жұмыс істеп тұрған сервер конфигурациясын көшіріп, бірнеше мекенжайды ауыстырып, оны филиал профилі деп атау әдетте қосылым береді. Бұл ең нашар нәтиже, өйткені филиал кейін дұрыс емес рөлмен жұмыс істейді, хабтан шықпауы тиіс материалды ашады және ешкім жасағанын есіне алмайтын маршрут байланысын қалдырады. Қосылым үш мәселені бірден жасырады, ал туннель біреу оларды тексермей тұрып көтеріледі.

Филиалды өз тұлғасы мен желілік рөлі бар серіктес ретінде қарау профильді дұрыс етеді. Түзету жақсырақ көшірме емес, ал бұл беттің қалғаны клиенттің шын мәнінде нені ұстауы керектігі туралы.

Бір файлға ұқсайтын екі рөл

TLS режимінде екі жақтың міндеттері толықтырады. Бір жақ тыңдайды, сервер сертификаты мен кілтін ұстайды және қай клиенттер қосыла алатынын шешеді. Екінші жақ қосылымды бастайды, тыңдаушыны тексереді және өз тұлғасын ұсынады.

Сервер файлында клиентте мағынасы жоқ директивалар бар: тыңдау үшін байланыстыру мекенжайы мен порт, тарату үшін мекенжайлар пулы және көбінесе клиенттер алуы тиіс параметрлерге арналған итеру тізімі. Оларды филиалға көшіру бір уақытта тыңдаушы да, клиент те болуға тырысатын құрылғы жасайды.

Жеке кілт ең маңызды бөлік. Клиент ешқашан сервердің жеке кілтін алып жүрмеуі керек және оған CA-ның қолтаңба кілті де қажет емес. CA сертификаты ашық сенім материалы; қолтаңба кілті сертификаттар берілетін жерге тиесілі.

Филиал профилінде не болуы керек

Филиал профиліне қашықтағы соңғы нүкте мен тасымал, сенімді сервер тұлғасы, филиалдың өз сертификаты мен кілті, сондай-ақ филиалға шынымен қажет маршруттар мен DNS параметрлері керек. Басқа ештеңе міндетті емес.

Филиал тұлғасын әр алаң үшін бөлек ұстаңыз. Екі филиал бір сертификатты бөліссе, біреуін кері қайтару екіншісін өшіреді, ал хаб журналдары оларды ажырата алмайды. Алаң бойынша тұлға тексеру ізін де, кері қайтару тарихын да жұмыс істетеді.

Құрылғы жұмыс ағындарымен абай болыңыз. pfSense-тің Client Export пакеті лайықты Remote Access контекстері үшін профильдер жасайды және оның серверлер тізіміне тек Remote Access режимінде конфигурацияланған серверлер кіреді. Басқа режимдегі алаң-алаң сервері көрінбейді, ал бұл жоқтық ақпарат, сервердің құпияларын көшіруге шақыру емес.

Егер құрылғы қажет профильді экспорттамаса, оның құжатталған алаң-алаң клиент жұмыс ағынын пайдаланыңыз немесе профильді орнатылған шығарылымның қолдау көрсетілген үлгісінен құрастырыңыз. Сервердің резервтік көшірмесін филиалға серверді қалпына келтіру жоспары болса ғана экспорттаңыз, ал олай емес. Көшірме хабтың жеке материалын да алып жүреді, сондықтан оны филиалға жылжыту кілттермен жұмыс істеу шешімі, файл тасымалы емес. Оны хабта ұстаңыз және клиент тұлғасын сертификаттар берілетін жерде жасаңыз.

Серіктес пен желі байланысы бөлек

Сәтті қосылған филиал клиенті әлі де өз LAN-ы үшін трафикті өткізе алмайды, хаб бұл серіктес сол префикске ие екенін білмейінше. Бұл байланыс хабта тұрады, клиенттің тұлғасына байланған және филиалдың қашықтағы желілерге қарай өз маршрутынан бөлек. Онсыз филиалдың хосттары туннель статистикасында қолжетімді болып көрінеді, іс жүзінде қолжетімсіз. Хаб журналы байланыстың қолданылғанын растайтын орын.

Хабтың операциялық жүйесінде маршрут қосу OpenVPN-ге қай клиент префикске ие екенін айтумен бірдей емес. Әр клиент бойынша байланыссыз пакет туннель интерфейсіне жетеді және ешбір серіктес межелі мекенжайға талап қоймағандықтан тасталады.

Филиал жағында сәйкес қажеттілік — жетуі тиіс желілерге қарай маршрут және трафикті филиалға қайтаруды білетін LAN маршрутизаторы. Сервер жағындағы иелік пен клиент жағындағы межелі маршруттар — бөлек нысандар, ал жұмыс істеп тұрған туннель тек бірінші секірісті дәлелдейді. Екеуін де филиалдың тапсыру жазбаларына жазыңыз, өйткені келесі инженер олардың тек біреуін табады.

Филиалдың өзіңіз ойлаған серіктес екенін дәлелдеу

Трафикті тексермес бұрын тұлғаны тексеріңіз. Хаб журналында филиал сертификатының жалпы атауы көрінуі керек, ал клиент алған мекенжай сіз көздеген пулға немесе тіркелген тағайындауға сай болуы керек. Егер журнал басқа атауды көрсетсе, профиль біреудің тұлғасын алып жүр.

Содан кейін филиал хостынан хаб жағындағы ресурсқа бір сұраныс жіберіп, байланысты тексеріңіз және оның күтілген бастау мекенжайымен сәтті болғанын растаңыз. Филиал жетпеуі тиіс межелі орынды сынап, оның сәтсіз болатынын растаңыз, өйткені кездейсоқ жұмыс істейтін рұқсатшыл маршрут дұрыс саясатпен бірдей емес.

Соңында филиал тұлғасын кері қайтарып, хабтың өз сертификаты мен басқа алаңдар жұмысын жалғастырғанда қосылымның сәтсіз болатынын растаңыз. Егер кері қайтару хабты бұзса, рөлдер мен тұлғалар бір жерде бөлісілген, және бұл дизайнға қайтаруға тұрарлық табылым.

Аяқталған филиал — құжатталған тұлғасы, тек клиентке арналған профилі, хабта серіктес-желі байланысы және сыналған қайту жолы бар филиал. Сервер файлындағы мәтінді төңкеру сізге осылардың ешқайсысын бермейді.