OpenVPN серверинин конфигурациясын филиалга көчүрүү эмнеге ийгиликсиз болот

Иштеп жаткан сервер конфигурациясын көчүрүп, бир нече даректи алмаштырып, аны филиал профили деп атоо адатта туташуу берет. Бул эң начар жыйынтык, анткени филиал андан кийин туура эмес роль менен иштейт, хабтан чыкпашы керек болгон материалды ачып берет жана эч ким жасаганын эстебеген маршрут байланышын калтырат. Туташуу үч маселени бир убакта жашырат, ал эми туннель бирөө аларды текшерээрден мурун көтөрүлөт.

Филиалды өз инсандыгы жана тармактык ролу бар өнөктөш катары кароо профилди туура кылат. Оңдоо жакшыраак көчүрмө эмес, жана бул барактын калганы кардар эмнени кармашы керектиги жөнүндө.

Бир файлга окшош эки роль

TLS режиминде эки тараптын милдеттери толуктайт. Бир тарап угат, сервердин сертификаты менен ачкычын кармайт жана кайсы кардарлар туташа аларын чечет. Экинчи тарап баштайт, угуучуну текшерет жана өз инсандыгын сунуштайт.

Сервер файлында кардарда мааниси жок директивалар бар: угуу үчүн байлоо дареги жана порт, бөлүштүрүү үчүн даректер пулу жана көбүнчө кардарлар алышы керек болгон жөндөөлөр үчүн түртүү тизмеси. Аларды филиалга көчүрүү бир эле учурда угуучу да, кардар да болууга аракет кылган түзмөк жаратат.

Жеке ачкыч эң маанилүү бөлүк. Кардар эч качан сервердин жеке ачкычын алып жүрбөшү керек жана ага CAнын кол тамга ачкычы да керек эмес. CA сертификаты ачык ишеним материалы; кол тамга ачкычы сертификаттар берилген жерге таандык.

Филиал профилинде эмне болушу керек

Филиал профилине алыскы акыркы чекит жана ташуу, ишенимдүү сервер инсандыгы, филиалдын өз сертификаты менен ачкычы, жана филиалга чын эле керек болгон маршруттар менен DNS жөндөөлөрү керек. Башка эч нерсе милдеттүү эмес.

Филиалдын инсандыгын ар бир аймак үчүн өзүнчө кармаңыз. Эки филиал бир сертификатты бөлүшсө, бирин кайтарып алуу экинчисин өчүрөт, жана хабдын журналдары аларды ажырата албайт. Аймак боюнча инсандык текшерүү изин да, кайтарып алуу тарыхын да иштетет.

Түзмөктөрдүн жумуш агымдары менен этият болуңуз. pfSense'тин Client Export пакети ылайыктуу Remote Access контексттери үчүн профилдерди жасайт жана анын серверлер тизмесине Remote Access режиминде конфигурацияланган серверлер гана кирет. Башка режимдеги аймак-аймак сервери көрүнбөйт, жана бул жоктук маалымат, сервердин сырларын көчүрүүгө чакыруу эмес.

Эгер түзмөк керектүү профилди экспорттобосо, анын документтелген аймак-аймак кардар жумуш агымын колдонуңуз же профилди орнотулган чыгарылыштын колдоого алынган үлгүсүнөн кураңыз. Сервердин камдык көчүрмөсүн филиалга серверди калыбына келтирүү планы болгондо гана экспорттоңуз, ал эми андай эмес. Көчүрмө хабдын жеке материалын да алып жүрөт, ошондуктан аны филиалга жылдыруу ачкычтарды кармоо чечими, файл ташуу эмес. Аны хабда кармаңыз жана кардардын инсандыгын сертификаттар берилген жерде түзүңүз.

Өнөктөш менен тармактын байланышы өзүнчө

Ийгиликтүү туташкан филиал кардары дагы өз LANы үчүн трафикти өткөрө албайт, хаб бул өнөктөш ошол префикске ээ экенин билмейинче. Бул байланыш хабда жашайт, кардардын инсандыгына байланган жана филиалдын алыскы тармактарга карай өз маршрутунан өзүнчө. Ансыз филиалдын хосттору туннелдин статистикасында жеткиликтүү көрүнөт, иш жүзүндө жеткиликсиз. Хабдын журналы байланыштын колдонулганын ырастоочу жер.

Хабдын операциялык системасында маршрут кошуу OpenVPN кайсы кардар префикске ээ экенин айтуу менен бирдей эмес. Ар бир кардар боюнча байланышсыз пакет туннелдин интерфейсине жетет жана эч бир өнөктөш барар жерди талап кылбагандыктан ыргытылат.

Филиал тарабында тиешелүү муктаждык — жетүүгө тийиш болгон тармактарга карай маршрут жана трафикти филиалга кайтарууну билген LAN маршрутизатору. Сервер тарабындагы ээлик жана кардар тарабындагы барар жердин маршруттары өзүнчө объектилер, ал эми иштеп жаткан туннель биринчи секирүүнү гана далилдейт. Экөөнү тең филиалдын өткөрүп берүү жазууларына жазыңыз, анткени кийинки инженер алардын бирин гана табат.

Филиал өзүңүз ойлогон өнөктөш экенин далилдөө

Трафикти текшерээрден мурун инсандыкты текшериңиз. Хабдын журналында филиалдын сертификатынын жалпы аты көрүнүшү керек, ал эми кардар алган дарек сиз көздөгөн пулга же туруктуу дайындоого туура келиши керек. Эгер журнал башка ат көрсөтсө, профиль башка бирөөнүн инсандыгын алып жүрөт.

Андан кийин филиалдын хостунен хаб тараптагы ресурска бир суроо жөнөтүп байланышты текшериңиз жана анын күтүлгөн булак дареги менен ийгиликтүү болгонун ырастаңыз. Филиал жетпеши керек болгон барар жерди сынап, анын ийгиликсиз болорун ырастаңыз, анткени кокустан иштеген кең пейилдүү маршрут туура саясат менен бирдей эмес.

Акырында филиалдын инсандыгын кайтарып алыңыз жана хабдын өз сертификаты менен башка аймактар иштеп жатканда туташуу ийгиликсиз болорун ырастаңыз. Эгер кайтарып алуу хабды бузса, ролдор менен инсандыктар бир жерде бөлүшүлгөн, жана бул долбоорго кайтарууга татыктуу табылга.

Бүткөн филиал — документтелген инсандыгы, кардарга гана арналган профили, хабда өнөктөш-тармак байланышы жана сыналган кайтуу жолу бар филиал. Сервер файлындагы текстти оодаруу сизге алардын эч бирин бербейт.