Kāpēc OpenVPN servera konfigurācijas kopēšana uz filiāli neizdodas

Darbojošās servera konfigurācijas kopēšana, pāris adrešu nomaiņa un tās saukšana par filiāles profilu parasti rada savienojumu. Tas ir sliktākais iznākums, jo filiāle pēc tam strādā ar nepareizu lomu, atklāj materiālu, kam nevajadzētu atstāt mezglu, un atstāj maršruta saistījumu, kuru neviens neatceras licis izveidot. Savienojums slēpj trīs problēmas reizē, un tunelis paceļas pirms tam, kad kāds tās pārbauda.

Filiāles uzskatīšana par partneri ar savu identitāti un tīkla lomu ir tas, kas profilu padara pareizu. Labojums nav labāka kopija, un pārējā šīs lapas daļa ir par to, kas klientam patiešām jātur.

Divas lomas, kas izskatās kā viena datne

TLS režīmā abām pusēm ir papildinoši uzdevumi. Viena puse klausās, tur servera sertifikātu un atslēgu un lemj, kuri klienti drīkst pievienoties. Otra puse uzsāk, pārbauda klausītāju un uzrāda savu identitāti.

Servera datnē ir direktīvas, kurām klientā nav jēgas: saistīšanas adrese un ports klausīšanās vajadzībām, adrešu kopums sadalīšanai un bieži stumšanas saraksts iestatījumiem, kas klientiem jāsaņem. To kopēšana uz filiāli rada ierīci, kas vienlaikus cenšas būt klausītājs un klients.

Privātā atslēga ir vissvarīgākā daļa. Klientam nekad nav jānes servera privātā atslēga, un tam nav vajadzīga arī CA parakstīšanas atslēga. CA sertifikāts ir publisks uzticības materiāls; parakstīšanas atslēga pieder tur, kur sertifikāti tiek izdoti.

Kas filiāles profilā jābūt

Filiāles profilam vajag attālo galapunktu un transportu, uzticamo servera identitāti, pašas filiāles sertifikātu un atslēgu, kā arī maršrutus un DNS iestatījumus, kas filiālei patiešām nepieciešami. Nekas cits nav obligāts.

Turiet filiāles identitāti atsevišķi katram novietojumam. Divas filiāles ar vienu sertifikātu nozīmē, ka vienas atsaukšana atslēdz otru, un mezgla žurnāli tās nevar atšķirt. Identitāte katram novietojumam ir tas, kas liek darboties gan audita pēdām, gan atsaukšanas stāstam.

Esiet uzmanīgi ar ierīču darbplūsmām. pfSense Client Export pakotne veido profilus piemērotiem Remote Access kontekstiem, un tās serveru sarakstā ir tikai serveri, kas konfigurēti Remote Access režīmā. Cita režīma vieta-uz-vietu serveris neparādās, un šī neesamība ir informācija, nevis uzaicinājums kopēt servera noslēpumus.

Ja ierīce neeksportē vajadzīgo profilu, izmantojiet tās dokumentēto vieta-uz-vietu klienta darbplūsmu vai veidojiet profilu no instalētās versijas atbalstītā parauga. Servera dublējumu eksportējiet uz filiāli tikai tad, ja plāns ir atjaunot serveri, kas tā nav. Dublējums nes arī mezgla privāto materiālu, tāpēc tā pārvietošana uz filiāli ir atslēgu apstrādes lēmums, nevis datnes pārsūtīšana. Turiet to mezglā un veidojiet klienta identitāti tur, kur sertifikāti tiek izdoti.

Partnera un tīkla saistījums ir atsevišķs

Filiāles klients, kas veiksmīgi pievienojas, joprojām nevar laist cauri trafiku savam LAN, līdz mezgls zina, ka šis partneris pārvalda šo prefiksu. Šis saistījums mīt mezglā, piesaistīts klienta identitātei, un tas ir atsevišķs no pašas filiāles maršruta uz attālajiem tīkliem. Bez tā filiāles resursdatori šķiet sasniedzami tuneļa statistikā un praksē nav sasniedzami. Mezgla žurnāls ir vieta, kur apstiprināt, vai saistījums tika piemērots.

Maršruta pievienošana mezgla operētājsistēmā nav tas pats, kas OpenVPN pateikt, kurš klients pārvalda prefiksu. Bez saistījuma katram klientam pakete sasniedz tuneļa saskarni un tiek izmesta, jo neviens partneris nepieprasa galamērķi.

Filiāles pusē atbilstošā vajadzība ir maršruts uz tīkliem, kurus tai jāsasniedz, kopā ar LAN maršrutētāju, kas prot atgriezt trafiku filiālē. Īpašumtiesības servera pusē un galamērķa maršruti klienta pusē ir atšķirīgi objekti, un darbojošs tunelis pierāda tikai pirmo lēcienu. Pierakstiet abus filiāles nodošanas piezīmēs, jo nākamais inženieris atradīs tikai vienu no tiem.

Pierādīt, ka filiāle ir tas partneris, ko domājat

Pārbaudiet identitāti pirms trafika pārbaudes. Mezgla žurnālā jābūt filiāles sertifikāta vispārpieņemtajam nosaukumam, un klienta saņemtajai adresei jāatbilst paredzētajam kopumam vai fiksētajai piešķirei. Ja žurnāls rāda citu nosaukumu, profils nes kāda cita identitāti.

Pēc tam pārbaudiet saistījumu, nosūtot vienu pieprasījumu no filiāles resursdatora uz mezgla puses resursu, un apstipriniet, ka tas izdodas ar gaidīto avota adresi. Pārbaudiet galamērķi, kuru filiālei nevajadzētu sasniegt, un apstipriniet, ka tas neizdodas, jo nejauši strādājošs atļaujošs maršruts nav tas pats, kas pareiza politika.

Visbeidzot atsauciet filiāles identitāti un apstipriniet, ka savienojums neizdodas, kamēr paša mezgla sertifikāts un citi novietojumi turpina strādāt. Ja atsaukšana salauž mezglu, lomas un identitātes kaut kur tika koplietotas, un tas ir atradums, ko ir vērts atgriezt dizainā.

Pabeigta filiāle ir tāda, kurai ir dokumentēta identitāte, tikai klientam paredzēts profils, partnera un tīkla saistījums mezglā un pārbaudīts atgriešanās ceļš. Servera datnes teksta apvēršana nedod nevienu no tiem.