Зошто копирањето на конфигурацијата на OpenVPN серверот во филијала не успева

Копирање на работната конфигурација на серверот, замена на неколку адреси и нарекување на тоа профил на филијала обично произведува врска. Тоа е најлошиот исход, бидејќи филијалата потоа работи со погрешна улога, изложува материјал што не треба да го напушти јазолот и остава поврзување на рута што никој не се сеќава дека го направил. Врската крие три проблеми одеднаш, а тунелот се крева пред некој да ги провери.

Третирањето на филијалата како партнер со сопствен идентитет и мрежна улога е она што го прави профилот точен. Поправката не е подобра копија, а остатокот од оваа страница е за тоа што клиентот навистина треба да држи.

Две улоги што изгледаат како една датотека

Во TLS режим двете страни имаат комплементарни задачи. Едната страна слуша, ги држи сертификатот и клучот на серверот и одлучува кои клиенти можат да се поврзат. Другата страна иницира, го проверува слушателот и го претставува сопствениот идентитет.

Датотеката на серверот содржи директиви што на клиент немаат смисла: адреса за врзување и порта за слушање, базен адреси за распределба и често список за туркање на поставки што клиентите треба да ги добијат. Нивното копирање во филијала создава уред што се обидува истовремено да биде слушател и клиент.

Приватниот клуч е делот што е најважен. Клиентот никогаш не смее да го носи приватниот клуч на серверот и не му е потребен ниту клучот за потпис на CA. Сертификатот на CA е јавен материјал на доверба; клучот за потпис припаѓа таму каде што се издаваат сертификати.

Што мора да содржи профилот на филијала

Профилот на филијала бара далечна крајна точка и транспорт, доверлив идентитет на серверот, сопствен сертификат и клуч на филијалата, како и рутите и DNS поставките што филијалата навистина ги бара. Ништо друго не е задолжително.

Држете го идентитетот на филијалата одделно за секое место. Две филијали што делат еден сертификат значат дека отповикувањето на едниот ја исклучува другата, а дневниците на јазолот не можат да ги разликуваат. Идентитет по место е она што ги прави и трагата за ревизија и приказната за отповикување да работат.

Бидете внимателни со работните текови на уредите. Пакетот Client Export на pfSense создава профили за соодветни Remote Access контексти, а неговиот список на сервери вклучува само сервери конфигурирани во Remote Access режим. Сервер место-до-место од друг режим не се појавува, а тоа отсуство е информација, не покана да се копираат тајните на серверот.

Ако уредот не го извезува профилот што ви треба, користете го неговиот документиран работен тек на клиент место-до-место или изградете го профилот од поддржаниот пример на инсталираното издание. Извезете резервна копија од серверот во филијалата само ако планот е да се обнови сервер, што не е случај. Копијата носи и приватен материјал на јазолот, затоа нејзиното преместување во филијала е одлука за ракување со клучеви, не пренос на датотека. Држете ја на јазолот и создајте го идентитетот на клиентот таму каде што се издаваат сертификати.

Поврзувањето на партнерот со мрежата е одделно

Клиент на филијала што успешно се поврзува сепак не може да пропушта сообраќај за својот LAN додека јазолот не знае дека овој партнер го поседува тој префикс. Тоа поврзување живее на јазолот, врзано за идентитетот на клиентот, и е одделно од сопствената рута на филијалата кон далечните мрежи. Без него, домаќините на филијалата изгледаат достапни во статистиката на тунелот, а во практиката не се достапни. Дневникот на јазолот е местото каде што се потврдува дали поврзувањето е применето.

Додавањето рута во оперативниот систем на јазолот не е исто што и кажување на OpenVPN кој клиент го поседува префиксот. Без поврзување по клиент, пакетот стигнува до интерфејсот на тунелот и се отфрла затоа што ниту еден партнер не го бара одредиштето.

На страната на филијалата, соодветната потреба е рута кон мрежите што треба да ги достигне, плус LAN рутер што знае како да го врати сообраќајот во филијалата. Сопственоста на страната на серверот и одредишните рути на страната на клиентот се различни објекти, а работниот тунел докажува само првиот скок. Запишете ги двете во белешките за предавање на филијалата, бидејќи следниот инженер ќе најде само едно од нив.

Докажување дека филијалата е партнерот што го мислите

Проверете го идентитетот пред да го проверите сообраќајот. Дневникот на јазолот треба да го покаже општото име на сертификатот на филијалата, а адресата што клиентот ја добил треба да одговара на базенот или фиксната додела што сте ја намеравале. Ако дневникот покажува друго име, профилот носи туѓ идентитет.

Потоа проверете го поврзувањето со испраќање на едно барање од домаќин во филијалата до ресурс на страната на јазолот и потврдете дека успева со очекуваната изворна адреса. Тестирајте одредиште до кое филијалата не смее да стигне и потврдете дека не успева, бидејќи дозволувачка рута што случајно работи не е исто што и точна политика.

На крајот отповикајте го идентитетот на филијалата и потврдете дека врската не успева додека сопствениот сертификат на јазолот и другите места продолжуваат да работат. Ако отповикувањето го скрши јазолот, улогите и идентитетите биле споделени некаде, и тоа е наодот што вреди да се врати во дизајнот.

Завршена филијала е онаа со документиран идентитет, профил само за клиент, поврзување на партнерот со мрежата на јазолот и проверен пат за враќање. Превртувањето на текстот во датотека на сервер не ви дава ниту едно од тие.