Firwat d'Kopéiere vun der OpenVPN-Serverkonfiguratioun an eng Filial feelgeet

Déi funktionéierend Serverkonfiguratioun kopéieren, e puer Adressen austauschen an dat Filialprofil nennen erstellt meeschtens eng Verbindung. Dat ass dee schlëmmste Resultat, well d'Filial duerno mat der falscher Roll leeft, Material offenleet, dat den Hub net verloosse soll, an eng Routenzuuerdnung hannerléisst, un déi sech kee méi erënnert. D'Verbindung verstoppt dräi Problemer op eemol, an den Tunnel geet op, ier ee se kontrolléiert.

D'Filial als Peer mat senger eegener Identitéit an Niewieroll ze behandelen ass dat, wat de Profil richteg mécht. D'Korrektur ass keng besser Kopie, an de Rescht vun dëser Säit geet drëm, wat e Client wierklech soll halen.

Zwou Rollen, déi wéi eng eenzeg Datei ausgesinn

Am TLS-Modus hunn déi zwou Säiten ergänzend Aufgaben. Eng Säit lauschtert, hält d'Serverzertifikat an de Schlëssel a entscheet, wéi eng Cliente sech kënnen verbannen. Déi aner Säit fänkt un, iwwerpréift de Lauschterer a presentéiert seng eege Identitéit.

Eng Serverdatei enthält Direktiven, déi op engem Client kee Sënn hunn: eng Bindadress an e Port fir ze lauschteren, e Pool vun Adressen fir ze verdeelen an dacks eng Push-Lëscht fir Astellungen, déi d'Cliente sollte kréien. Déi an eng Filial ze kopéieren erstellt en Apparat, deen zur selwechter Zäit Lauschterer a Client wëll sinn.

De private Schlëssel ass den Deel, deen am meeschten zielt. E Client däerf ni de private Schlëssel vum Server droen, an en huet och net de Signaturschlëssel vun der CA néideg. En CA-Zertifikat ass ëffentlecht Vertrauensmaterial; de Signaturschlëssel gehéiert dohinner, wou Zertifikater ausgestallt ginn.

Wat e Filialprofil muss enthalen

E Filialprofil brauch den entfernten Endpunkt an den Transport, déi vertrauenswürdeg Serveridentitéit, den eegene Zertifikat an de Schlëssel vun der Filial, an d'Routen an DNS-Astellungen, déi d'Filial wierklech brauch. Soss ass näischt obligatoresch.

Halt d'Identitéit vun der Filial pro Standuert getrennt. Zwou Filialen, déi een Zertifikat deelen, heescht, datt den Ofruff vun der enger déi aner ausschalt, an d'Loge vum Hub kënnen se net ënnerscheeden. Eng Identitéit pro Standuert ass dat, wat souwuel de Prüfwee wéi och d'Geschicht vum Ofruff funktionéiere léisst.

Sief virsiichteg mat den Apparats-Workflows. D'Client-Export-Paket vu pfSense erstellt Profiler fir passend Remote-Access-Kontexter, an seng Serverlëscht enthält nëmme Serveren, déi an engem Remote-Access-Modus konfiguréiert sinn. E Standuert-zu-Standuert-Server vun engem anere Modus erschéngt net, an dës Ofwiesenheet ass Informatioun, keng Invitatioun fir d'Geheimnisser vum Server ze kopéieren.

Wann den Apparat de Profil net exportéiert, deen s du brauchs, benotz säi dokumentéierte Standuert-zu-Standuert-Client-Workflow oder bau de Profil aus dem ënnerstëtzten Beispill vun der installéierter Versioun. Exportéier eng Server-Sécherung nëmmen dann an d'Filial, wann de Plang ass, e Server ze restauréieren, wat net de Fall ass. Eng Sécherung dréit och dat privat Material vum Hub, dofir ass d'Verschieben an eng Filial eng Decisioun zum Ëmgang mat Schlësselen, keen Dateitransfer. Halt se um Hub a generéier d'Clientidentitéit do, wou Zertifikater ausgestallt ginn.

D'Zouuerdnung tëscht Peer an Netzwierk ass getrennt

E Filialclient, dee sech erfolgreich verbënnt, kann nach ëmmer keen Trafik fir säi LAN duerchloossen, bis den Hub weess, datt dëse Peer dee Prefix besëtzt. Déi Zouuerdnung läit um Hub, un d'Identitéit vum Client gebonnen, an se ass getrennt vun der eegener Route vun der Filial Richtung entfernt Netzwierker. Ouni si erschéingen d'Hosten aus der Filial an der Statistik vum Tunnel erreechbar an et sinn se an der Praxis net. D'Log vum Hub ass dee Plaz, wou bestätegt gëtt, ob d'Zouuerdnung ugewannt gouf.

Eng Route am Betribssystem vum Hub dobäizesetzen ass net datselwecht wéi dem OpenVPN ze soen, wéi e Client de Prefix besëtzt. Ouni d'Zouuerdnung pro Client erreecht de Pak d'Tunnelschnëttstell a gëtt verworf, well kee Peer d'Destinatioun behaapt.

Op der Säit vun der Filial ass de entspriechende Besoin eng Route Richtung de Netzwierker, déi se erreeche soll, plus e LAN-Router, dee weess, wéi en den Trafik an d'Filial zréckschéckt. Besëtz op der Serversäit an Destinatiounsrouten op der Clientsäit sinn ënnerschiddlech Objeten, an en funktionéierenden Tunnel beweise just den éischte Sprong. Schreif béides an d'Iwwerganksnotizen vun der Filial, well den nächsten Ingenieur just eng vun deenen zwou fënnt.

Beweisen, datt d'Filial dee Peer ass, deen s du mengs

Iwwerpréif d'Identitéit, ier s den Trafik iwwerpréifs. D'Log vum Hub sollt den allgemengen Numm vum Zertifikat vun der Filial weisen, an d'Adress, déi de Client kritt huet, sollt zum virgesinnene Pool oder zur fester Zouweisung passen. Wann d'Log en aneren Numm weist, dréit de Profil d'Identitéit vun engem aneren.

Iwwerpréif duerno d'Zouuerdnung, andeems s eng Ufro vun engem Host aus der Filial un eng Ressource op der Hub-Säit schécks an bestätegs, datt se mat der erwaarter Quelladress geléngt. Test eng Destinatioun, déi d'Filial net däerf erreechen, a bestäteg, datt se feelgeet, well eng erlaabend Route, déi duerch Zoufall funktionéiert, net datselwecht ass wéi eng korrekt Politik.

Zum Schluss ruff d'Identitéit vun der Filial of a bestäteg, datt d'Verbindung feelgeet, während den eegene Zertifikat vum Hub an aner Standuerten weiderfunktionéieren. Wann den Ofruff den Hub bricht, goufen Rollen an Identitéiten irgendwou gedeelt, an dat ass dee Fong, deen et wäert ass, an d'Design zréckzehuelen.

Eng fäerdeg Filial ass eng mat dokumentéierter Identitéit, engem Profil just fir de Client, enger Zouuerdnung tëscht Peer an Netzwierk um Hub an engem getestene Retourwee. Den Text an enger Serverdatei emdréien gëtt der keng vun deenen.