OpenVPN सर्व्हरचे कॉन्फिगरेशन शाखेत कॉपी करणे का अयशस्वी होते

चालू सर्व्हर कॉन्फिगरेशनची प्रत बनवून, काही पत्ते बदलून आणि त्याला शाखा प्रोफाइल म्हणणे सामान्यतः एक कनेक्शन तयार करते. हा सर्वात वाईट निकाल आहे, कारण मग शाखा चुकीच्या भूमिकेत चालते, हबबाहेर जाऊ नये अशी सामग्री उघड करते आणि कोणालाही आठवत नसलेले मार्ग संबंध सोडून जाते. कनेक्शन एकाच वेळी तीन समस्या लपवते, आणि कोणी त्या तपासण्यापूर्वीच बोगदा वर येतो.

शाखेला तिची स्वतःची ओळख आणि नेटवर्क भूमिका असलेला सहकारी म्हणून पाहणे हेच प्रोफाइल बरोबर करते. उपाय अधिक चांगली प्रत नाही, आणि या पानाचा उर्वरित भाग क्लायंटने खरोखर काय ठेवावे याबद्दल आहे.

एका फाइलसारखे दिसणाऱ्या दोन भूमिका

TLS मोडमध्ये दोन्ही बाजूंची कामे पूरक असतात. एक बाजू ऐकते, सर्व्हरचे प्रमाणपत्र आणि की ठेवते आणि कोणते क्लायंट जोडले जाऊ शकतात हे ठरवते. दुसरी बाजू सुरू करते, ऐकणाऱ्याची पडताळणी करते आणि स्वतःची ओळख सादर करते.

सर्व्हर फाइलमध्ये क्लायंटवर अर्थ नसलेल्या सूचना असतात: ऐकण्यासाठी बाइंड पत्ता आणि पोर्ट, वाटण्यासाठी पत्त्यांचा संच, आणि बऱ्याचदा क्लायंटना मिळावयाच्या सेटिंग्जसाठी ढकलण्याची यादी. त्या शाखेत कॉपी केल्याने एकाच वेळी ऐकणारे आणि क्लायंट होण्याचा प्रयत्न करणारे उपकरण तयार होते.

खाजगी की हा सर्वात महत्त्वाचा भाग आहे. क्लायंटने कधीही सर्व्हरची खाजगी की घेऊन जाऊ नये, आणि त्याला CA ची स्वाक्षरी की देखील लागत नाही. CA प्रमाणपत्र ही सार्वजनिक विश्वासाची सामग्री आहे; स्वाक्षरी की तिथे राहते जिथे प्रमाणपत्रे दिली जातात.

शाखा प्रोफाइलमध्ये काय असावे

शाखा प्रोफाइलला दूरचा टोक आणि वाहतूक, विश्वासार्ह सर्व्हर ओळख, शाखेचे स्वतःचे प्रमाणपत्र आणि की, आणि शाखेला खरोखर आवश्यक असलेले मार्ग व DNS सेटिंग्ज लागतात. इतर काहीही अनिवार्य नाही.

प्रत्येक साइटसाठी शाखेची ओळख वेगळी ठेवा. दोन शाखांनी एक प्रमाणपत्र सामायिक केल्यास एक रद्द केल्याने दुसरी बंद होते, आणि हबचे लॉग त्यांना वेगळे ओळखू शकत नाहीत. साइटनिहाय ओळख हीच ऑडिट श्रेणी आणि रद्दीकरणाची कथा दोन्ही चालवते.

उपकरणांच्या कार्यप्रवाहांबाबत सावध राहा. pfSense चे Client Export पॅकेज पात्र Remote Access संदर्भांसाठी प्रोफाइल तयार करते, आणि त्याच्या सर्व्हर यादीत Remote Access मोडमध्ये कॉन्फिगर केलेले सर्व्हरच असतात. इतर मोडचा साइट-ते-साइट सर्व्हर दिसत नाही, आणि ही अनुपस्थिती माहिती आहे, सर्व्हरची गुपिते कॉपी करण्याचे निमंत्रण नाही.

उपकरण आपल्याला आवश्यक प्रोफाइल निर्यात करत नसेल, तर त्याचा दस्तऐवजीकृत साइट-ते-साइट क्लायंट कार्यप्रवाह वापरा किंवा स्थापित आवृत्तीच्या समर्थित उदाहरणातून प्रोफाइल तयार करा. सर्व्हरचा बॅकअप शाखेत निर्यात करा फक्त तेव्हाच जेव्हा योजना सर्व्हर पुनर्संचयित करण्याची असेल, जी नाही आहे. बॅकअप हबची खाजगी सामग्री देखील घेऊन जातो, म्हणून एक शाखेत हलवणे ही की हाताळणीची निर्णयप्रक्रिया आहे, फाइल हस्तांतरण नाही. तो हबवर ठेवा आणि क्लायंट ओळख तिथे तयार करा जिथे प्रमाणपत्रे दिली जातात.

सहकाऱ्याचा नेटवर्कशी संबंध वेगळा आहे

यशस्वीरित्या जोडलेला शाखा क्लायंट अजूनही त्याच्या LAN साठी रहदारी पुढे जाऊ देऊ शकत नाही, जोपर्यंत हबला माहीत नाही की हा सहकारी त्या उपसर्गाचा मालक आहे. तो संबंध हबवर राहतो, क्लायंटच्या ओळखीशी बांधलेला, आणि शाखेच्या स्वतःच्या दूरच्या नेटवर्ककडे जाणाऱ्या मार्गापासून वेगळा आहे. त्याशिवाय शाखेचे यजमान बोगद्याच्या आकडेवारीत पोहोचण्यायोग्य दिसतात आणि प्रत्यक्षात पोहोचता येत नाही. संबंध लागू झाला का हे हबच्या लॉगमध्ये तपासले जाते.

हबच्या ऑपरेटिंग सिस्टममध्ये मार्ग जोडणे हे OpenVPN-ला कोणता क्लायंट उपसर्गाचा मालक आहे हे सांगण्यासारखे नाही. प्रत्येक क्लायंटच्या संबंधाशिवाय पॅकेट बोगद्याच्या इंटरफेसपर्यंत पोहोचते आणि टाकून दिले जाते, कारण कोणताही सहकारी गंतव्याचा दावा करत नाही.

शाखेच्या बाजूला, संबंधित गरज म्हणजे ज्या नेटवर्कपर्यंत पोहोचायचे आहे त्यांच्याकडे जाणारा मार्ग, आणि रहदारी शाखेत परत पाठवण्याचे ज्ञान असलेला LAN मार्गक. सर्व्हरच्या बाजूची मालकी आणि क्लायंटच्या बाजूचे गंतव्य मार्ग वेगवेगळ्या वस्तू आहेत, आणि चालू बोगदा फक्त पहिली उडी सिद्ध करतो. दोन्ही शाखेच्या सुपूर्द नोंदींमध्ये लिहा, कारण पुढील अभियंत्याला त्यातील फक्त एकच सापडेल.

शाखा ही तुम्ही विचार करत असलेला सहकारी आहे हे सिद्ध करणे

रहदारी तपासण्यापूर्वी ओळख तपासा. हबच्या लॉगमध्ये शाखेच्या प्रमाणपत्राचे सामान्य नाव दिसावे, आणि क्लायंटला मिळालेला पत्ता तुम्ही इच्छित असलेल्या संचाशी किंवा स्थिर वाटपाशी जुळावा. लॉगमध्ये दुसरे नाव दिसल्यास प्रोफाइल दुसऱ्या कोणाची ओळख घेऊन जात आहे.

नंतर शाखेच्या यजमानावरून हबच्या बाजूच्या स्त्रोताकडे एक विनंती पाठवून संबंध तपासा आणि अपेक्षित स्रोत पत्त्यासह ती यशस्वी होते याची खात्री करा. शाखेने पोहोचू नये अशा गंतव्याची चाचणी करा आणि ती अयशस्वी होते याची खात्री करा, कारण योगायोगाने चालणारा सोयीस्कर मार्ग योग्य धोरणासारखा नसतो.

शेवटी शाखेची ओळख रद्द करा आणि हबचे स्वतःचे प्रमाणपत्र व इतर साइट्स चालू असताना कनेक्शन अयशस्वी होते याची खात्री करा. रद्दीकरणाने हब तुटल्यास भूमिका आणि ओळखी कुठेतरी सामायिक झाल्या होत्या, आणि तीच रचनेकडे परत नेण्याजोगी शोध आहे.

पूर्ण शाखा म्हणजे दस्तऐवजीकृत ओळख, फक्त-क्लायंट प्रोफाइल, हबवर सहकारी-ते-नेटवर्क संबंध आणि चाचणी केलेला परतीचा मार्ग असलेली शाखा. सर्व्हर फाइलमधील मजकूर उलटवल्याने तुम्हाला त्यातील एकही मिळत नाही.