Kodėl OpenVPN serverio konfigūracijos kopijavimas į filialą nepavyksta

Nusikopijuoti veikiančią serverio konfigūraciją, pakeisti porą adresų ir pavadinti tai filialo profiliu paprastai sukuria ryšį. Tai blogiausias rezultatas, nes filialas tada dirba su netinkamu vaidmeniu, atskleidžia medžiagą, kuri neturėtų palikti mazgo, ir palieka maršruto susiejimą, kurio niekas neprisimena sukūręs. Ryšys paslepia tris problemas iš karto, o tunelis pakyla anksčiau, nei kas nors jas patikrina.

Filialo traktavimas partneriu su savo tapatybe ir tinklo vaidmeniu yra tai, kas padaro profilį teisingą. Pataisa nėra geresnė kopija, o likusi šio puslapio dalis apie tai, ką klientas iš tikrųjų turėtų laikyti.

Du vaidmenys, kurie atrodo kaip vienas failas

TLS režimu abiejų pusių užduotys papildo viena kitą. Viena pusė klausosi, laiko serverio sertifikatą ir raktą bei nusprendžia, kurie klientai gali jungtis. Kita pusė inicijuoja, tikrina klausytoją ir pateikia savo tapatybę.

Serverio faile yra direktyvų, kurios kliente neturi prasmės: susiejimo adresas ir prievadas klausymuisi, adresų telkinys dalijimui ir dažnai stūmimo sąrašas nustatymams, kuriuos klientai turėtų gauti. Jų kopijavimas į filialą sukuria įrenginį, kuris vienu metu bando būti klausytoju ir klientu.

Privatus raktas yra svarbiausia dalis. Klientas niekada neturi nešti serverio privataus rakto, o CA pasirašymo rakto jam taip pat nereikia. CA sertifikatas yra vieša pasitikėjimo medžiaga; pasirašymo raktas priklauso ten, kur išduodami sertifikatai.

Ką filialo profilis turi turėti

Filialo profiliui reikia nuotolinio galinio taško ir transporto, patikimos serverio tapatybės, paties filialo sertifikato ir rakto bei maršrutų ir DNS nustatymų, kurių filialui tikrai reikia. Niekas kitas neprivalomas.

Laikykite filialo tapatybę atskirai kiekvienai vietai. Du filialai, bendrai naudojantys vieną sertifikatą, reiškia, kad vieno panaikinimas išjungia kitą, o mazgo žurnalai negali jų atskirti. Tapatybė pagal vietą leidžia veikti ir audito pėdsakui, ir panaikinimo istorijai.

Būkite atsargūs su įrenginių darbo eigomis. pfSense Client Export paketas kuria profilius tinkamiems Remote Access kontekstams, o jo serverių sąraše yra tik serveriai, sukonfigūruoti Remote Access režimu. Kito režimo vieta-su-vieta serveris nepasirodo, ir šis nebuvimas yra informacija, o ne kvietimas kopijuoti serverio paslaptis.

Jei įrenginys neeksportuoja reikalingo profilio, naudokite jo dokumentuotą vieta-su-vieta kliento darbo eigą arba surinkite profilį iš įdiegtos versijos palaikomo pavyzdžio. Serverio atsarginę kopiją eksportuokite į filialą tik jei planas yra atkurti serverį, o taip nėra. Kopija taip pat neša privatų mazgo turinį, todėl jos perkėlimas į filialą yra raktų tvarkymo sprendimas, o ne failo perkėlimas. Laikykite ją mazge ir kurkite kliento tapatybę ten, kur išduodami sertifikatai.

Partnerio ir tinklo susiejimas yra atskiras

Sėkmingai prisijungęs filialo klientas vis tiek negali praleisti srauto savo LAN tinklui, kol mazgas nežino, kad šis partneris valdo tą prefiksą. Tas susiejimas gyvena mazge, susietas su kliento tapatybe, ir jis atskiras nuo paties filialo maršruto nuotolinių tinklų link. Be jo filialo mazgai atrodo pasiekiami tunelio statistikoje, o praktiškai yra nepasiekiami. Mazgo žurnalas yra vieta, kur patvirtinama, ar susiejimas buvo pritaikytas.

Maršruto pridėjimas mazgo operacinėje sistemoje nėra tas pats, kas OpenVPN pasakymas, kuris klientas valdo prefiksą. Be susiejimo kiekvienam klientui paketas pasiekia tunelio sąsają ir yra išmetamas, nes joks partneris nereikalauja tikslo.

Filialo pusėje atitinkamas poreikis yra maršrutas į tinklus, kuriuos jis turi pasiekti, kartu su LAN maršrutizatoriumi, kuris žino, kaip grąžinti srautą į filialą. Nuosavybė serverio pusėje ir tikslo maršrutai kliento pusėje yra skirtingi objektai, o veikiantis tunelis įrodo tik pirmą šuolį. Užrašykite abu filialo perdavimo pastabose, nes kitas inžinierius ras tik vieną iš jų.

Įrodyti, kad filialas yra tas partneris, kurį manote

Patikrinkite tapatybę prieš tikrindami srautą. Mazgo žurnale turi būti filialo sertifikato bendrasis vardas, o kliento gautas adresas turi atitikti numatytą telkinį ar fiksuotą priskyrimą. Jei žurnale rodomas kitas vardas, profilis neša kito asmens tapatybę.

Tada patikrinkite susiejimą išsiųsdami vieną užklausą iš filialo mazgo į mazgo pusės išteklių ir patvirtinkite, kad ji pavyksta su laukiamu šaltinio adresu. Išbandykite tikslą, kurio filialas neturi pasiekti, ir patvirtinkite, kad nepavyksta, nes atsitiktinai veikiantis leidžiantis maršrutas nėra tas pats kas teisinga politika.

Galiausiai panaikinkite filialo tapatybę ir patvirtinkite, kad ryšys nutrūksta, o mazgo sertifikatas ir kitos vietos toliau veikia. Jei panaikinimas sugriauna mazgą, vaidmenys ir tapatybės kažkur buvo bendrinami, ir tai yra radinys, kurį verta grąžinti į dizainą.

Užbaigtas filialas yra tas, kuris turi dokumentuotą tapatybę, tik klientui skirtą profilį, partnerio ir tinklo susiejimą mazge ir išbandytą grįžimo kelią. Serverio failo teksto apvertimas neduoda nė vieno iš jų.