Client Export kontra en utgående OpenVPN-forekomst på pfSense

Du installerer Client Export-pakken, åpner den, og servervelgeren er tom. Den naturlige konklusjonen er at pakken er ødelagt eller at pfSense ikke kan fungere som VPN-klient i det hele tatt, og begge er feil. Velgeren er tom fordi pfSense ikke har noen fjernakseserver konfigurert, og pakken var aldri verktøyet for å få brannmuren til å ringe ut. To forskjellige jobber deler ett ord, og den tomme listen er lyden av at en av dem blir bedt om noe den ikke gjør.

Bestem hvem som starter før du installerer noe

Still ett spørsmål: hvilken enhet starter forbindelsen? Hvis en ansatt på reise kobler til kontorets brannmur, er pfSense serveren og den ansattes bærbare datamaskin klienten. Pakken du trenger i det tilfellet forbereder materiale for den bærbare, fordi den bærbare er siden som ringer.

Hvis pfSense kobler ut til noen andres VPN-tjeneste, er brannmuren klienten og den eksterne operatøren eier endepunktet du ringer.

Begge situasjonene bruker ordet klient, og det er der forvirringen starter. Ordet beskriver en rolle i én forbindelse, ikke en produktkategori.

Eksportøren er en hjelper på serversiden

Client Export tar en fjernakseserver som allerede finnes på pfSense og produserer materialet en tilkoblet enhet trenger. Den leser serverens innstillinger, sertifikater og tunnelvalg, og pakker dem deretter for bruk andre steder.

Derfor viser velgeren bare servere i Remote Access-modus. Uten en slik server er det ingenting å eksportere, og den tomme listen er en nøyaktig rapport og ikke en feil. Opprett fjernakseserveren først, og velgeren fyller seg selv. Den rekkefølgen forvirrer folk oftere enn noen innstilling inne i pakken.

Pakkeveiledningen sier avhengigheten tydelig. Les den før du antar at pakken kan opprette serveren for deg.

Den utgående forekomsten er en egen konfigurasjon

Å gjøre pfSense til klient hos en annen tjeneste betyr å opprette en OpenVPN klientforekomst med den leverandørens endepunkt, port, protokoll, påloggingsinformasjon og tillitsmateriale. Netgate dokumenterer dette atskilt fra eksportpakken, fordi det er et annet objekt i konfigurasjonen.

Installasjon av eksportøren fyller ingen av disse feltene, og ingen eksportformat genererer dem for deg. Hvis leverandøren din leverer en profil, importerer eller overfører du verdiene til forekomsten du oppretter.

Hold de to konfigurasjonene i atskilte mentale bokser. Den ene svarer andre enheter; den andre ber en annen server om en tunnel.

Velg eksportformatet enheten kan bruke

Eksporter kommer som innebygde konfigurasjoner, samlede arkiver og installeringsprogrammer for bestemte klientprogrammer. Velg etter hva den mottakende enheten faktisk kan importere, ikke etter hvilken nedlasting som ser mest komplett ut.

En innebygd fil er praktisk for en klient som godtar limt inn konfigurasjon. En pakke bærer separate filer og passer for en klient som vil ha en mappe. Et installeringsprogram forutsetter at et bestemt program er akseptabelt på den plattformen, noe som er en policybeslutning like mye som en teknisk. Spør hvilken klient det mottakende teamet støtter, før du laster ned noe.

Noen eksporter inneholder sertifikater og private nøkler, og passordet som beskytter dette nøkkelmaterialet kan avvike fra brukerens kontopassord. Lever materialet gjennom den godkjente registreringskanalen i stedet for å lime inn en full eksport i en sak som konfigurasjonseksempel.

Site-to-site trenger roller og ruter, ikke en pakke

En filialtunnel er igjen et annet design. Avgjør hvilket endepunkt som har serverrollen og hvilket som har klientrollen, og definer deretter de rutede nettene på begge sider før du konfigurerer noe.

Client Export har ingen mening om filialens ruter, videresendingstillatelse eller returvei, fordi forberedelse av klientmateriale for fjernakses er hele jobben.

Skriv ned rollene og rutelisten først, så besvarer pakkespørsmålet seg selv. Gjør du det feil, redder ingen eksportformat designet. Det samme gjelder returveien: en filial som når senteret og ikke kan få svar, er ikke en fungerende tunnel.