OpenVPN серверийн тохиргоог салбар руу хуулах нь яагаад бүтэлгүйтдэг вэ

Ажиллаж буй серверийн тохиргоог хуулж, хэдэн хаяг сольж, үүнийг салбарын профайл гэж нэрлэх нь ихэвчлэн холболт үүсгэдэг. Энэ нь хамгийн муу үр дүн, учир нь салбар дараа нь буруу дүрээр ажиллаж, зангилааг орхих ёсгүй материалыг ил гаргаж, хэн ч хийснээ санахгүй маршрутын холбоос үлдээдэг. Холболт гурван асуудлыг нэгэн зэрэг нууж, хэн нэгэн шалгахаас өмнө туннель босдог.

Салбарыг өөрийн гэсэн таних тэмдэг, сүлжээний дүртэй түнш гэж үзэх нь профайлыг зөв болгодог. Залруулга нь илүү сайн хуулбар биш бөгөөд энэ хуудасны үлдсэн хэсэг нь клиент юу барих ёстой тухай.

Нэг файл мэт харагдах хоёр дүр

TLS горимд хоёр талын ажил бие биеэ нөхдөг. Нэг тал сонсож, серверийн гэрчилгээ, түлхүүрийг барьж, аль клиент холбогдож болохыг шийддэг. Нөгөө тал эхлүүлж, сонсогчийг шалгаж, өөрийн таних тэмдгийг танилцуулдаг.

Серверийн файлд клиент дээр утгагүй заавар байдаг: сонсох холболтын хаяг ба порт, тараах хаягийн сан, мөн ихэвчлэн клиентүүд авах ёстой тохиргооны түлхэх жагсаалт. Тэдгээрийг салбар руу хуулах нь нэгэн зэрэг сонсогч ба клиент болохыг оролдсон төхөөрөмж үүсгэдэг.

Хувийн түлхүүр нь хамгийн чухал хэсэг. Клиент хэзээ ч серверийн хувийн түлхүүрийг авч явах ёсгүй бөгөөд түүнд CA-ийн гарын үсгийн түлхүүр ч хэрэггүй. CA гэрчилгээ нь нийтийн итгэлийн материал; гарын үсгийн түлхүүр нь гэрчилгээ олгогддог газарт хамаарна.

Салбарын профайлд юу байх ёстой

Салбарын профайлд алсын төгсгөлийн цэг ба дамжуулалт, итгэмжлэгдсэн серверийн таних тэмдэг, салбарын өөрийн гэрчилгээ ба түлхүүр, мөн салбарт үнэхээр хэрэгтэй маршрут болон DNS тохиргоо хэрэгтэй. Өөр юу ч заавал биш.

Салбарын таних тэмдгийг газар бүрд тусдаа бариарай. Хоёр салбар нэг гэрчилгээг хуваалцвал нэгийг цуцлах нь нөгөөг идэвхгүй болгож, зангилааны лог тэднийг ялгаж чадахгүй. Газар тутмын таних тэмдэг нь аудитын мөр болон цуцлалтын түүхийг хоёуланг нь ажиллуулдаг.

Төхөөрөмжийн ажлын урсгалд болгоомжтой байгаарай. pfSense-ийн Client Export багц нь тохирох Remote Access контекстэд профайл үүсгэдэг бөгөөд түүний серверийн жагсаалтад зөвхөн Remote Access горимд тохируулсан серверүүд ордог. Өөр горимын газар-газар сервер харагдахгүй бөгөөд энэ дутагдал нь мэдээлэл, серверийн нууцыг хуулах урилга биш.

Хэрэв төхөөрөмж хэрэгтэй профайлыг экспортлохгүй бол түүний баримтжуулсан газар-газар клиентийн ажлын урсгалыг ашиглах эсвэл профайлыг суулгасан хувилбарын дэмжигдсэн жишээнээс бүтээгээрэй. Серверийн нөөц хуулбарыг салбар руу экспортлох нь серверийг сэргээх төлөвлөгөөтэй үед л, тийм биш. Хуулбар нь зангилааны хувийн материалыг ч агуулдаг тул үүнийг салбар руу зөөх нь түлхүүртэй ажиллах шийдвэр, файл шилжүүлэг биш. Үүнийг зангилаанд байлгаж, клиентийн таних тэмдгийг гэрчилгээ олгогддог газарт үүсгэ.

Түнш ба сүлжээний холбоос нь тусдаа

Амжилттай холбогдсон салбарын клиент нь зангилаа энэ түнш тэр префиксыг эзэмшдэг гэдгийг мэдэх хүртэл өөрийн LAN-ийн урсгалыг нэвтрүүлж чадахгүй. Тэр холбоос зангилаанд амьдардаг, клиентийн таних тэмдэгтэй холбогдсон бөгөөд салбарын алсын сүлжээнүүд рүү чиглэсэн өөрийн маршрутаас тусдаа. Үүнгүйгээр салбарын хостүүд туннелийн статистикт хүрч болох мэт харагдаж, бодит байдал дээр хүрч чадахгүй. Холбоос хэрэгжсэн эсэхийг зангилааны лог дээр батална.

Зангилааны үйлдлийн системд маршрут нэмэх нь OpenVPN-д аль клиент префиксыг эзэмшиж байгааг хэлэхтэй ижил биш. Клиент тус бүрийн холбоосгүйгээр пакет туннелийн интерфейст хүрч, ямар ч түнш очих газрыг шаардахгүй тул хаягдана.

Салбарын талд харгалзах хэрэгцээ нь хүрэх ёстой сүлжээнүүд рүү чиглэсэн маршрут, мөн урсгалыг салбар руу буцаахыг мэддэг LAN чиглүүлэгч юм. Серверийн талын эзэмшил ба клиентийн талын очих газрын маршрутууд нь өөр өөр объект бөгөөд ажиллаж буй туннель зөвхөн эхний харайлтыг баталдаг. Хоёуланг нь салбарын хүлээлгэн өгөх тэмдэглэлд бичээрэй, учир нь дараагийн инженер тэдгээрийн зөвхөн нэгийг олох болно.

Салбар бол таны бодож буй түнш гэдгийг батлах

Урсгалыг шалгахаас өмнө таних тэмдгийг шалга. Зангилааны лог салбарын гэрчилгээний нийтлэг нэрийг харуулах ёстой бөгөөд клиентийн авсан хаяг таны зорьсон сан эсвэл тогтмол хуваарилалтад тохирох ёстой. Хэрэв лог өөр нэр харуулбал профайл өөр хэн нэгний таних тэмдгийг авч явж байна.

Дараа нь салбарын хостээс зангилааны талын нөөц рүү нэг хүсэлт илгээж холбоосыг шалга, хүлээгдэж буй эх хаягтай амжилттай болсныг батал. Салбар хүрэх ёсгүй очих газрыг туршиж, бүтэлгүйтдэг эсэхийг батал, учир нь санамсаргүй ажилладаг зөвшөөрөлтэй маршрут зөв бодлоготой ижил биш.

Эцэст нь салбарын таних тэмдгийг цуцалж, зангилааны өөрийн гэрчилгээ болон бусад газрууд ажиллаж байхад холболт бүтэлгүйтдэг эсэхийг батал. Хэрэв цуцлалт зангилааг эвдвэл дүр, таних тэмдгүүд хаа нэгтээ хуваалцсан байна, энэ нь дизайн руу буцаах үнэ цэнэтэй олдвор.

Дууссан салбар бол баримтжуулсан таних тэмдэг, зөвхөн клиентэд зориулсан профайл, зангилаан дээрх түнш-сүлжээний холбоос, туршсан буцах замтай салбар юм. Серверийн файл дахь текстийг эргүүлэх нь эдгээрийн алийг ч өгөхгүй.