Għaliex l-ikkupjar tal-konfigurazzjoni tas-server OpenVPN f'fergħa jonqos

L-ikkupjar tal-konfigurazzjoni tas-server li taħdem, it-tibdil ta' ftit indirizzi u s-sejħa tagħha profil tal-fergħa normalment jipproduċi konnessjoni. Dak l-agħar riżultat, għax il-fergħa mbagħad taħdem bir-rwol ħażin, tesponi materjal li m'għandux joħroġ miċ-ċentru, u tħalli assoċjazzjoni ta' rotta li ħadd ma jiftakar li għamel. Il-konnessjoni taħbi tliet problemi f'daqqa, u t-tunnel jitla' qabel ma xi ħadd jiċċekkjahom.

It-trattament tal-fergħa bħala pari bid-identità u r-rwol tan-netwerk tagħha huwa dak li jagħmel il-profil korrett. Is-soluzzjoni mhix kopja aħjar, u l-bqija ta' din il-paġna hija dwar x'għandu tassew iżomm klijent.

Żewġ rwoli li jidhru qishom fajl wieħed

Fil-modalità TLS iż-żewġ naħat għandhom xogħlijiet li jikkomplementaw lil xulxin. Naħa waħda tisma', iżżomm iċ-ċertifikat u ċ-ċavetta tas-server u tiddeċiedi liema klijenti jistgħu jikkonnettjaw. In-naħa l-oħra tibda, tivverifika lis-semmiegħ u tippreżenta l-identità tagħha stess.

Fajl tas-server fih direttivi li m'għandhom l-ebda sens fuq klijent: indirizz ta' rabta u porta biex jisma', ġabra ta' indirizzi biex tinqasam u spiss lista ta' mbuttatura għal settijiet li l-klijenti għandhom jirċievu. L-ikkupjar tagħhom f'fergħa jipproduċi apparat li jipprova jkun semmiegħ u klijent fl-istess ħin.

Iċ-ċavetta privata hija l-parti l-aktar importanti. Klijent qatt m'għandu jġorr iċ-ċavetta privata tas-server, u lanqas ma għandu bżonn iċ-ċavetta tal-firma tas-CA. Ċertifikat tas-CA huwa materjal pubbliku ta' fiduċja; iċ-ċavetta tal-firma tappartjeni fejn jinħarġu ċ-ċertifikati.

X'għandu jkun fih profil tal-fergħa

Profil tal-fergħa jeħtieġ il-punt aħħari remot u t-trasport, l-identità tal-server fiduċjarja, iċ-ċertifikat u ċ-ċavetta tal-fergħa stess, u r-rotot u s-settijiet DNS li l-fergħa tassew teħtieġ. Xejn ieħor mhu obbligatorju.

Żomm l-identità tal-fergħa separata għal kull sit. Żewġ fergħat li jaqsmu ċertifikat wieħed ifissru li r-revoka ta' waħda tiddiżattiva lill-oħra, u l-logs taċ-ċentru ma jistgħux jiddistingwuhom. Identità għal kull sit hija dik li tagħmel kemm il-traċċa tal-awditjar kif ukoll l-istorja tar-revoka jaħdmu.

Oqgħod attent mal-flussi tax-xogħol tal-apparati. Il-pakkett Client Export ta' pfSense jiġġenera profili għal kuntesti Remote Access eliġibbli, u l-lista tal-magni tiegħu tinkludi biss magni kkonfigurati fil-modalità Remote Access. Magna sit-għal-sit ta' modalità oħra ma tidhirx, u dik l-assenza hija informazzjoni, mhix stedina biex tikkupja s-sigrieti tal-magna.

Jekk l-apparat ma jesportax il-profil li għandek bżonn, uża l-fluss tax-xogħol tal-klijent sit-għal-sit iddokumentat tiegħu jew ibni l-profil mill-eżempju appoġġjat tal-verżjoni installata. Esporta backup tal-magna lejn il-fergħa biss jekk il-pjan huwa li tirkupra magna, li mhuwiex. Backup iġorr ukoll materjal privat taċ-ċentru, għalhekk iċ-ċaqliq tiegħu lejn fergħa hija deċiżjoni dwar immaniġġjar taċ-ċwievet, mhux trasferiment ta' fajl. Żommu fuq iċ-ċentru u iġġenera l-identità tal-klijent fejn jinħarġu ċ-ċertifikati.

L-assoċjazzjoni bejn il-pari u n-netwerk hija separata

Klijent tal-fergħa li jikkonnettja b'suċċess xorta ma jistax jgħaddi traffiku għal-LAN tiegħu sakemm iċ-ċentru jkun jaf li dan il-pari jippossjedi dak il-prefiss. Dik l-assoċjazzjoni tgħix fuq iċ-ċentru, marbuta mal-identità tal-klijent, u hija separata mir-rotta tal-fergħa stess lejn in-netwerks remoti. Mingħajrha, l-hosts tal-fergħa jidhru aċċessibbli fl-istatistika tat-tunnel u fil-prattika mhumiex aċċessibbli. Il-log taċ-ċentru huwa l-post fejn jiġi kkonfermat jekk l-assoċjazzjoni ġietx applikata.

Iż-żieda ta' rotta fis-sistema operattiva taċ-ċentru mhijiex l-istess bħall-qbil lil OpenVPN liema klijent jippossjedi l-prefiss. Mingħajr l-assoċjazzjoni għal kull klijent, il-pakkett jasal għall-interface tat-tunnel u jiġi mwarrab għax ebda pari ma jitlob id-destinazzjoni.

Fuq in-naħa tal-fergħa, il-ħtieġa korrispondenti hija rotta lejn in-netwerks li għandha tilħaq, flimkien ma' router LAN li jaf kif jirritorna t-traffiku lejn il-fergħa. Is-sjieda fuq in-naħa tas-server u r-rotot tad-destinazzjoni fuq in-naħa tal-klijent huma oġġetti distinti, u tunnel li jaħdem jipprova biss l-ewwel qabża. Ikteb it-tnejn fin-noti tal-konsenja tal-fergħa, għax l-inġinier li jmiss isib biss waħda minnhom.

Li tipprova li l-fergħa hija l-pari li taħseb int

Ivverifika l-identità qabel ma tivverifika t-traffiku. Il-log taċ-ċentru għandu juri l-isem komuni taċ-ċertifikat tal-fergħa, u l-indirizz li rċieva l-klijent għandu jaqbel mal-ġabra jew mal-allokazzjoni fissa li kellek f'moħħok. Jekk il-log juri isem ieħor, il-profil qiegħed iġorr identità ta' ħadd ieħor.

Imbagħad ivverifika l-assoċjazzjoni billi tibgħat talba waħda minn host tal-fergħa lejn riżors fuq in-naħa taċ-ċentru u kkonferma li tirnexxi bl-indirizz tas-sors mistenni. Ipprova destinazzjoni li l-fergħa m'għandhiex tilħaq u kkonferma li tfalli, għax rotta permissiva li taħdem b'kumbinazzjoni mhijiex l-istess bħal politika korretta.

Fl-aħħar, irrevoka l-identità tal-fergħa u kkonferma li l-konnessjoni tfalli waqt li ċ-ċertifikat taċ-ċentru stess u siti oħra jibqgħu jaħdmu. Jekk ir-revoka tkisser iċ-ċentru, ir-rwoli u l-identitajiet inqasmu xi mkien, u dik hija s-sejba li tiswa li tittieħed lura fid-disinn.

Fergħa mitmuma hija waħda b'identità iddokumentata, profil għall-klijent biss, assoċjazzjoni bejn il-pari u n-netwerk fuq iċ-ċentru, u mogħdija lura ppruvata. Li tqaċċat it-test f'fajl tas-server ma jagħtik xejn minn dawn.