pfSense bħala server u klijent VPN: żewġ toroq, router wieħed

Apparat wieħed jista' jħares f'żewġ direzzjonijiet fl-istess ħin: utenti li jivvjaġġaw jikkonnettjaw 'il ġewwa, u l-istess kaxxa tikkonnettja 'il barra ma' fornitur tal-ħruġ biex it-traffiku magħżul joħroġ minn network ieħor. Li tixgħel iż-żewġ servizzi jieħu minuti; li tħallihom jgħixu flimkien jeħtieġ disinn, għax it-tieni rwol jerġa' jikteb it-tabella tal-itinerar li l-ewwel wieħed jiddependi fuqha. Tliet kundizzjonijiet jiddeċiedu jekk l-arranġament jaħdimx, jiġifieri jekk is-servizz dieħel iżommx it-triq tar-ritorn tiegħu stess, jekk it-tunnel ħiereġ għadux jilħaq il-pari tiegħu, u jekk it-traffiku li ridt tibgħat 'il quddiem huwiex magħżul għall-ħruġ. Żbalja f'wieħed u jkollok żewġ tunnels li t-tnejn jirrappurtaw konnessi waqt li xejn utli ma jaqsam bejniethom. Il-verifiki hawn taħt jistabbilixxu kull kundizzjoni fl-ordni li fih il-fallimenti normalment jidhru.

Semmi ż-żewġ rwoli qabel ma tmiss kwalunkwe setting

Ikteb erba' fatti għal kull istanza: il-pari bogħod tagħha, il-materjal tal-awtentikazzjoni tagħha, il-pool tal-indirizzi li tqassam, u n-networks warajha. Iż-żewġ istanzi huma oġġetti separati fuq l-apparat u għandhom jibqgħu separati fin-noti tiegħek ukoll. Kważi kull sintomu konfuż aktar tard jiġi mill-ħallt tal-valuri tagħhom, u żewġ istanzi li jaqsmu sett wieħed ta' noti hija t-triq li biha l-pool ħażin jispiċċa fil-qasam ħażin.

Is-servizz dieħel jeħtieġ network tat-tunnel li ma jidħilx fuq l-indirizzi tat-tunnel ħiereġ u lanqas fuq xi network privat li l-apparat jibgħat. L-interferenza hija l-unika żball li jipproduċi sintomi f'żewġ rwoli fl-istess ħin, u ħafna irħas taqbadha fuq il-karta. Qabbel iż-żewġ pools u kull network privat mibgħut f'post wieħed qabel ma tikkonfigura xi wieħed mis-servizzi.

Ħardwer maqsum ma jfissirx kredenzjali maqsuma, u ċertifikat tal-klijent mill-pool tal-aċċess mill-bogħod m'għandux ikun użabbli kontra l-fornitur tal-ħruġ. Materjal separat ibiddel ukoll ir-revoka f'deċiżjoni lokali minflok avveniment għall-flotta kollha.

Żomm it-tweġibiet tas-server fit-triq WAN

It-tweġibiet li l-apparat jiġġenera hu stess huma l-ewwel vittma ta' rotta awtomatika traskurata. Meta tasal il-pakkett inkapsulat ta' utent li jivvjaġġa, it-tweġiba hija traffiku li nbeda lokalment u trid toħroġ mill-interface li biha daħal dak l-utent. Jekk il-klijent ħiereġ installa rotta awtomatika li taqbdu, it-tweġiba tidħol fit-tunnel ħażin u s-sessjoni tieqaf waqt li s-servizz għadu jidher b'saħħtu.

M'hemmx kaxxa waħda li tissetilja dan, għax id-deċiżjoni hija dwar liema traffiku l-klijent ħiereġ jista' jaqbad. Jew ma tiġbed l-ebda rotta u tiddirieġi biss dak li tagħżel, jew tiġbed rotot u żżid l-eċċezzjonijiet li jżommu s-servizzi tal-apparat stess jaħdmu. Ikteb l-għażla ħdejn l-istanza, altrimenti l-persuna li jmiss se tassumi l-oħra.

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

Aqra t-tabella tal-itinerar bl-itwal qbil u mhux bl-ordni li fih ikkonfigurajt xi ħaġa. Il-mistoqsija hija liema entrata tirbaħ għall-indirizz tal-pari tal-ħruġ u liema entrata tirbaħ għat-tweġiba tas-servizz dieħel, u dawn iż-żewġ tweġibiet jistgħu jvarjaw.

Tħallix it-tunnel ħiereġ jiekol il-punt tat-tmiem tiegħu stess

Il-klijent ħiereġ irid jilħaq l-indirizz pubbliku tal-pari tiegħu biex iqajjem it-tunnel xejn. Jekk dak l-indirizz innifsu jiġi dirett fit-tunnel, il-klijent jiġri warajh innifsu: it-trasport qatt ma jitla', jew jitla' u mbagħad jaqa' fil-mument li fih tiġi installata r-rotta. Il-log jidher bħala skadenza tal-awtentikazzjoni u mhux bħala ħsara fl-itinerar, u għalhekk ir-rotta ħaqqha l-ewwel verifika.

Ivverifika r-rotta qabel il-kredenzjali u għal darb'oħra wara li t-tunnel ikun tela', għax entrata tista' tkun korretta waqt il-boot u ħażina minuta wara. L-indirizz tal-pari għandu jħares lejn it-triq WAN tas-soltu, qatt lejn l-apparat tat-tunnel. Malli t-trasport jistabbilizza, il-mistoqsija interessanti tgħaddi għat-traffiku mibgħut, li hija d-deċiżjoni li jmiss.

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

Agħżel liema utenti jirċievu l-ħruġ

Il-politika tas-sors tappartjeni lid-daħla fejn it-traffiku jidħol fl-apparat, għalhekk agħżel il-pool tal-aċċess mill-bogħod, jew identitajiet eqreb ġo fih. Ippreserva d-destinazzjonijiet privati u l-eċċezzjonijiet tal-ġestjoni li qatt m'għandhom jintbagħtu lejn il-ħruġ, u poġġi dawk ir-regoli qabel dik wiesgħa. It-triq tal-ħruġ imbagħad teħtieġ traduzzjoni tagħha stess jew arranġament tar-ritorn dirett, li għall-biċċa l-kbira tad-disinni jfisser NAT ħiereġ fuq l-interface tal-ħruġ li jkopri l-pool. It-traduzzjoni ma tagħżilx ħruġ; hija biss terġa' tikteb dak li diġà ħareġ, għalhekk regola NAT fuq WAN mhux relatat ma tbiddel xejn fl-għażla.

Ikkonferma li t-tarf bogħod jippermetti traffiku mibgħut minn dan id-disinn, għax xi fornituri jippermettu u oħrajn le. Id-differenza tidher bħala tunnel li jikkonnettja u ma jġorr xejn, li huwa faċli li tinqrah bħala ħsara lokali. Ipprova t-tliet flussi separatament, għax jonqsu b'mod indipendenti, u tnejn minn tlieta huwa disinn nofsu mibni.

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

L-ewwel kmand huwa l-konnessjoni ta' barra tal-utent li jivvjaġġa, u jaħdem meta l-klijent jirrapporta li s-sekwenza tal-inizjalizzazzjoni hija kompluta. It-tieni, imħaddem minn dak il-laptop konness, għandu jirrapporta l-indirizz tal-fornitur tal-ħruġ minflok l-indirizz WAN tiegħek. It-tielet jaħdem fuq l-apparat marbut ma' indirizz mill-pool, u jittestja l-politika tas-sors għat-traffiku mibgħut mingħajr ma jinvolvi utent mill-bogħod xejn. Jekk minflok iwieġeb mill-WAN, il-politika ma qabditx, u l-ebda ammont ta' editjar tan-NAT ma jsewwi problema tal-għażla.

Iddeċiedi x'jiġri meta l-ħruġ ifalli

Ikteb l-imġiba tal-falliment qabel ma sseħħ: meta t-tunnel ħiereġ jaqa', l-utenti jmorru lura għall-WAN tas-soltu jew jiġu mblukkati sakemm jiġi lura l-ħruġ? Iż-żewġ tweġibiet huma difendibbli, u l-apparat mhux se jagħżel għalik. Rotta mneħħija jew politika li tħares lejn gateway mejji ma tipproduċix awtomatikament riżultat kompletament imblukkat. Jekk trid blokk, il-politika trid tgħidha b'mod espliċitu, u trid tiġi ttestjata billi tneħħi l-ħruġ u mhux billi taħseb dwaru. Jekk trid lura, ippubblikaha lill-utenti, għax it-traffiku li bil-kwiet jieħu t-triq tas-soltu huwa eżattament it-traffiku li xi ħadd ħaseb li kien kopert.

Iddiżattiva l-istanza tal-klijent, ara x'għadu jilħaq utent konness, imbagħad erġa' ibdiha. Talba li tiskadi hija r-riżultat kompletament imblukkat li tlabt; dik li twieġeb bl-indirizz WAN hija l-lura li ma ddokumentajtx. Errepeti l-verifika għall-IPv6 u għad-DNS, għax politika miktuba għall-IPv4 ma tgħid xejn dwar traffiku AAAA u resolver imbuttat minn kwalunkwe tunnel iwieġeb minn fejn il-mistoqsija tabilħaqq toħroġ.

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

Ir-riċetta ta' Netgate għal OpenVPN dirett turi kif il-politika tas-sors, l-assenjazzjoni tal-interface u t-traduzzjoni ħierġa jaqblu, u l-ambitu bejn is-siti tagħha huwa l-parti li m'għandhiex tiġi kkupjata kollha. Dak li mhux se tgħidlek huwa liema mit-tliet kundizzjonijiet hawn fuq id-disinn tiegħek diġà kiser.