Mengapa menyalin konfigurasi pelayan OpenVPN ke cawangan gagal

Menyalin konfigurasi pelayan yang berfungsi, menukar beberapa alamat dan menyebutnya profil cawangan biasanya menghasilkan sambungan. Itu hasil yang paling teruk, kerana cawangan kemudian berjalan dengan peranan yang salah, mendedahkan bahan yang tidak sepatutnya keluar dari hab, dan meninggalkan kaitan laluan yang tiada sesiapa ingat membuatnya. Sambungan itu menyembunyikan tiga masalah sekali gus, dan terowong naik sebelum sesiapa memeriksanya.

Memperlakukan cawangan sebagai rakan sebaya dengan identiti dan peranan rangkaian tersendiri itulah yang menjadikan profil itu betul. Pembetulannya bukan salinan yang lebih baik, dan seluruh halaman ini membincangkan apa yang sepatutnya dipegang oleh klien.

Dua peranan yang kelihatan seperti satu fail

Dalam mod TLS kedua-dua pihak mempunyai tugas yang saling melengkapi. Satu pihak mendengar, memegang sijil dan kunci pelayan serta memutuskan klien mana yang boleh menyambung. Pihak lain memulakan, mengesahkan pendengar dan membentangkan identitinya sendiri.

Fail pelayan mengandungi arahan yang tidak masuk akal pada klien: alamat ikatan dan port untuk mendengar, kumpulan alamat untuk diagihkan dan selalunya senarai tolak untuk tetapan yang patut diterima oleh klien. Menyalinnya ke cawangan menghasilkan peranti yang cuba menjadi pendengar dan klien pada masa yang sama.

Kunci persendirian ialah bahagian yang paling penting. Klien tidak boleh sekali-kali membawa kunci persendirian pelayan, dan ia juga tidak memerlukan kunci tandatangan CA. Sijil CA ialah bahan kepercayaan awam; kunci tandatangan terletak di tempat sijil dikeluarkan.

Apa yang mesti terkandung dalam profil cawangan

Profil cawangan memerlukan titik akhir jauh dan pengangkutan, identiti pelayan yang dipercayai, sijil dan kunci cawangan itu sendiri, serta laluan dan tetapan DNS yang benar-benar diperlukan oleh cawangan. Tiada apa-apa lagi yang wajib.

Kekalkan identiti cawangan berasingan bagi setiap tapak. Dua cawangan berkongsi satu sijil bermakna membatalkan satu melumpuhkan yang lain, dan log hab tidak dapat membezakannya. Identiti setiap tapak itulah yang menjadikan jejak audit dan kisah pembatalan berfungsi.

Berhati-hati dengan aliran kerja perkakas. Pakej Client Export pfSense menghasilkan profil untuk konteks Remote Access yang layak, dan senarai pelayannya hanya merangkumi pelayan yang dikonfigurasikan dalam mod Remote Access. Pelayan tapak-ke-tapak daripada mod lain tidak muncul, dan ketiadaan itu ialah maklumat, bukan jemputan untuk menyalin rahsia pelayan.

Jika perkakas tidak mengeksport profil yang anda perlukan, gunakan aliran kerja klien tapak-ke-tapak yang didokumenkan atau bina profil daripada contoh yang disokong dalam keluaran yang dipasang. Eksport sandaran pelayan ke cawangan hanya jika rancangannya memulihkan pelayan, yang mana bukan. Sandaran juga membawa bahan persendirian hab, jadi memindahkannya ke cawangan ialah keputusan pengendalian kunci, bukan pemindahan fail. Simpan di hab dan jana identiti klien di tempat sijil dikeluarkan.

Kaitan rakan sebaya dengan rangkaian adalah berasingan

Klien cawangan yang berjaya bersambung masih tidak boleh melalukan trafik untuk LAN-nya sehingga hab tahu bahawa rakan sebaya ini memiliki awalan itu. Kaitan itu tinggal di hab, terikat pada identiti klien, dan ia berasingan daripada laluan cawangan itu sendiri ke arah rangkaian jauh. Tanpanya, hos cawangan kelihatan boleh dicapai dalam statistik terowong dan tidak boleh dicapai dalam praktik. Log hab ialah tempat untuk mengesahkan sama ada kaitan itu telah digunakan.

Menambah laluan dalam sistem pengendalian hab bukanlah sama seperti memberitahu OpenVPN klien mana yang memiliki awalan itu. Tanpa kaitan bagi setiap klien, paket itu sampai ke antara muka terowong dan digugurkan kerana tiada rakan sebaya menuntut destinasi itu.

Di sisi cawangan, keperluan yang sepadan ialah laluan ke arah rangkaian yang patut dicapainya, ditambah penghala LAN yang tahu mengembalikan trafik ke cawangan. Pemilikan di sisi pelayan dan laluan destinasi di sisi klien ialah objek yang berbeza, dan terowong yang berfungsi hanya membuktikan lompatan pertama. Catat kedua-duanya dalam nota penyerahan cawangan, kerana jurutera seterusnya hanya akan menemui satu daripadanya.

Membuktikan bahawa cawangan ialah rakan sebaya yang anda sangkakan

Sahkan identiti sebelum mengesahkan trafik. Log hab sepatutnya menunjukkan nama umum sijil cawangan, dan alamat yang diterima klien sepatutnya sepadan dengan kumpulan atau peruntukan tetap yang anda maksudkan. Jika log menunjukkan nama lain, profil itu membawa identiti orang lain.

Kemudian sahkan kaitan dengan menghantar satu permintaan daripada hos cawangan ke sumber di sisi hab dan pastikan ia berjaya dengan alamat sumber yang dijangkakan. Uji destinasi yang tidak boleh dicapai oleh cawangan dan pastikan ia gagal, kerana laluan permisif yang kebetulan berfungsi bukanlah sama dengan dasar yang betul.

Akhir sekali, batalkan identiti cawangan dan pastikan sambungan gagal sementara sijil hab sendiri dan tapak lain terus berfungsi. Jika pembatalan merosakkan hab, peranan dan identiti telah dikongsi di suatu tempat, dan itulah penemuan yang wajar dibawa kembali ke reka bentuk.

Cawangan yang siap ialah cawangan dengan identiti yang didokumenkan, profil khusus klien, kaitan rakan sebaya dengan rangkaian di hab, dan laluan pulang yang diuji. Membalikkan teks dalam fail pelayan tidak memberikan anda satu pun daripadanya.