„Client Export“ prieš išeinančią „OpenVPN“ instanciją „pfSense“

Įdiegiate „Client Export“ paketą, atidarote jį, o serverio parinkiklis tuščias. Natūrali išvada – paketas sugadintas arba „pfSense“ apskritai negali veikti kaip VPN klientas, ir abi yra klaidingos. Parinkiklis tuščias todėl, kad „pfSense“ nesukonfigūruotas nuotolinės prieigos serveris, o paketas niekada nebuvo įrankis, verčiantis užkardą skambinti į išorę. Dvi skirtingos užduotys dalijasi vienu žodžiu, o tuščias sąrašas yra vienos iš jų balsas, kai jos prašoma to, ko ji nedaro.

Nuspręskite, kas pradeda, prieš ką nors įdiegdami

Užduokite vieną klausimą: kuris įrenginys pradeda ryšį? Jei keliaujantis darbuotojas jungiasi prie biuro užkardos, „pfSense“ yra serveris, o darbuotojo nešiojamasis kompiuteris – klientas. Šiuo atveju reikalingas paketas ruošia medžiagą nešiojamajam kompiuteriui, nes būtent jis skambina.

Jei „pfSense“ jungiasi prie kito asmens VPN paslaugos, užkarda yra klientas, o nuotolinis operatorius valdo galinį tašką, į kurį skambinate.

Abi situacijos vartoja žodį klientas, ir čia prasideda painiava. Žodis apibūdina vaidmenį viename ryšyje, o ne produktų kategoriją.

Eksportuotojas yra pagalbininkas serverio pusėje

„Client Export“ paima nuotolinės prieigos serverį, kuris jau egzistuoja „pfSense“, ir sukuria medžiagą, kurios reikia besijungiančiam įrenginiui. Jis nuskaito to serverio nustatymus, sertifikatus ir tunelio parinktis, tada supakuoja juos naudojimui kitur.

Štai kodėl parinkiklis išvardija tik serverius, veikiančius Remote Access režimu. Be tokio serverio nėra ko eksportuoti, o tuščias sąrašas yra tikslus pranešimas, o ne gedimas. Pirmiausia sukurkite nuotolinės prieigos serverį, ir parinkiklis prisipildys pats. Ši tvarka klaidina žmones dažniau nei bet koks paketo nustatymas.

Paketo nuoroda aiškiai nurodo šią priklausomybę. Perskaitykite ją prieš manydami, kad paketas gali sukurti serverį už jus.

Išeinanti instancija yra atskira konfigūracija

Padaryti „pfSense“ kitos paslaugos klientu reiškia sukurti OpenVPN kliento instanciją su to teikėjo galiniu tašku, prievadu, protokolu, prisijungimo duomenimis ir pasitikėjimo medžiaga. „Netgate“ tai dokumentuoja atskirai nuo eksporto paketo, nes tai kitas konfigūracijos objektas.

Eksportuotojo įdiegimas neužpildo nė vieno iš šių laukų, ir joks eksporto formatas jų jums nesugeneruos. Jei jūsų teikėjas pateikia profilį, jo reikšmes importuojate arba perrašote į sukuriamą instanciją.

Laikykite abi konfigūracijas atskirose minties dėžutėse. Viena atsako kitiems įrenginiams; kita prašo tunelio iš kito serverio.

Pasirinkite eksporto formatą, kurį įrenginys gali naudoti

Eksportas pateikiamas kaip įterptos konfigūracijos, supakuoti archyvai ir diegimo programos konkrečioms kliento programoms. Rinkitės pagal tai, ką priimantis įrenginys iš tikrųjų gali importuoti, o ne pagal tai, kuri siuntinys atrodo išsamiausias.

Įterptas failas patogus klientui, kuris priima įklijuotą konfigūraciją. Paketas neša atskirus failus ir tinka klientui, norinčiam katalogo. Diegimo programa daro prielaidą, kad tam tikra programa yra priimtina toje platformoje, o tai yra politikos sprendimas ne mažiau nei techninis. Paklauskite, kokį klientą palaiko priimanti komanda, prieš ką nors atsisiųsdami.

Kai kuriuose eksportuose yra sertifikatų ir privačių raktų, o slaptažodis, saugantis šią raktų medžiagą, gali skirtis nuo naudotojo paskyros slaptažodžio. Perduokite medžiagą patvirtintu registracijos kanalu, o ne įklijuokite visą eksportą į bilietą kaip konfigūracijos pavyzdį.

Site-to-site reikia vaidmenų ir maršrutų, o ne paketo

Filialo tunelis vėl yra kitoks projektas. Nustatykite, kuris galinis taškas atlieka serverio vaidmenį, o kuris – kliento, tada prieš ką nors konfigūruodami apibrėžkite maršrutizuotus tinklus abiejose pusėse.

„Client Export“ neturi nuomonės apie filialo maršrutus, persiuntimo leidimą ar grįžimo kelią, nes nuotolinės prieigos kliento medžiagos ruošimas yra visas jo darbas.

Pirmiausia užsirašykite vaidmenis ir maršrutų sąrašą, ir paketo klausimas atsakys pats. Jei suklysite, joks eksporto formatas neišgelbės projekto. Tas pats galioja grįžimo keliui: filialas, kuris pasiekia centrą, bet negali gauti atsakymo, nėra veikiantis tunelis.