OpenVPN सर्भरको कन्फिगरेसन शाखामा प्रतिलिपि गर्न किन असफल हुन्छ

चालु सर्भर कन्फिगरेसनको प्रतिलिपि बनाएर, केही ठेगाना बदलेर र त्यसलाई शाखा प्रोफाइल भन्ने कामले सामान्यतया एउटा जडान उत्पन्न गर्छ। त्यो सबैभन्दा नराम्रो नतिजा हो, किनकि त्यसपछि शाखा गलत भूमिकामा चल्छ, हबबाट बाहिर जान नहुने सामग्री उजागर गर्छ, र कसैले पनि बनाएको सम्झना नगर्ने मार्ग सम्बन्ध छोड्छ। जडानले एकैपटक तीन समस्या लुकाउँछ, र कसैले जाँच गर्नु अघि नै सुरुङ माथि आउँछ।

शाखालाई आफ्नै पहिचान र सञ्जाल भूमिका भएको सहकर्मीका रूपमा लिनु नै प्रोफाइल सही बनाउँछ। समाधान राम्रो प्रतिलिपि होइन, र यो पृष्ठको बाँकी भाग क्लाइन्टले वास्तवमा के राख्नुपर्छ भन्नेबारे हो।

एउटै फाइलजस्तो देखिने दुई भूमिका

TLS मोडमा दुई पक्षका काम पूरक हुन्छन्। एक पक्ष सुन्छ, सर्भरको प्रमाणपत्र र कुञ्जी राख्छ, र कुन क्लाइन्ट जडान हुन सक्छन् भन्ने निर्णय गर्छ। अर्को पक्ष सुरु गर्छ, सुन्नेलाई प्रमाणित गर्छ र आफ्नै पहिचान प्रस्तुत गर्छ।

सर्भर फाइलमा क्लाइन्टमा अर्थ नहुने निर्देशनहरू हुन्छन्: सुन्नका लागि बाइन्ड ठेगाना र पोर्ट, बाँड्नका लागि ठेगानाको समूह, र प्रायः क्लाइन्टले पाउनुपर्ने सेटिङका लागि धकेल्ने सूची। ती शाखामा प्रतिलिपि गर्दा एकैपटक सुन्ने र क्लाइन्ट दुवै बन्न खोज्ने उपकरण बन्छ।

निजी कुञ्जी सबैभन्दा महत्त्वपूर्ण भाग हो। क्लाइन्टले कहिल्यै सर्भरको निजी कुञ्जी बोक्नु हुँदैन, र उसलाई CA को हस्ताक्षर कुञ्जी पनि आवश्यक पर्दैन। CA प्रमाणपत्र सार्वजनिक विश्वास सामग्री हो; हस्ताक्षर कुञ्जी प्रमाणपत्र जारी हुने ठाउँमा रहन्छ।

शाखा प्रोफाइलमा के हुनुपर्छ

शाखा प्रोफाइललाई टाढाको अन्त्यबिन्दु र यातायात, विश्वसनीय सर्भर पहिचान, शाखाको आफ्नै प्रमाणपत्र र कुञ्जी, र शाखालाई साँच्चै आवश्यक पर्ने मार्ग तथा DNS सेटिङ चाहिन्छ। अरू केही अनिवार्य छैन।

हरेक साइटका लागि शाखाको पहिचान अलग राख्नुहोस्। दुई शाखाले एउटै प्रमाणपत्र साझा गरे एक रद्द गर्दा अर्को बन्द हुन्छ, र हबका लगले तिनलाई छुट्याउन सक्दैन। साइटअनुसारको पहिचानले नै लेखापरीक्षणको ट्रेल र रद्दीकरणको कथा दुवै चलाउँछ।

उपकरणका कार्यप्रवाहमा सतर्क रहनुहोस्। pfSense को Client Export प्याकेजले योग्य Remote Access सन्दर्भका लागि प्रोफाइल बनाउँछ, र त्यसको सर्भर सूचीमा Remote Access मोडमा कन्फिगर गरिएका सर्भर मात्र हुन्छन्। अर्को मोडको साइट-देखि-साइट सर्भर देखिँदैन, र त्यो अनुपस्थिति सूचना हो, सर्भरका गोप्य कुरा प्रतिलिपि गर्ने निम्तो होइन।

यदि उपकरणले तपाईंलाई आवश्यक प्रोफाइल निर्यात गर्दैन भने, त्यसको अभिलेखित साइट-देखि-साइट क्लाइन्ट कार्यप्रवाह प्रयोग गर्नुहोस् वा स्थापित संस्करणको समर्थित उदाहरणबाट प्रोफाइल बनाउनुहोस्। सर्भर ब्याकअप शाखामा निर्यात गर्नु केवल तब जब योजना सर्भर पुनर्स्थापना हो, जो होइन। ब्याकअपले हबको निजी सामग्री पनि बोक्छ, त्यसैले एउटा शाखामा सार्नु कुञ्जी हेरचाहको निर्णय हो, फाइल स्थानान्तरण होइन। यसलाई हबमा राख्नुहोस् र क्लाइन्ट पहिचान प्रमाणपत्र जारी हुने ठाउँमा बनाउनुहोस्।

सहकर्मी-देखि-सञ्जाल सम्बन्ध अलग छ

सफलतापूर्वक जडान हुने शाखा क्लाइन्टले अझै आफ्नो LAN का लागि ट्राफिक पार गर्न सक्दैन, जबसम्म हबलाई यो सहकर्मी त्यो प्रिफिक्सको मालिक हो भन्ने थाहा हुँदैन। त्यो सम्बन्ध हबमा रहन्छ, क्लाइन्टको पहिचानसँग बाँधिएको, र शाखाको आफ्नै टाढाका सञ्जालतर्फको मार्गबाट अलग छ। त्यसबिना शाखाका होस्ट सुरुङको तथ्याङ्कमा पुग्न सकिने देखिन्छन् र व्यवहारमा पुग्न सकिँदैन। सम्बन्ध लागू भयो कि भएन भन्ने हबको लगमा पुष्टि गरिन्छ।

हबको अपरेटिङ सिस्टममा मार्ग थप्नु OpenVPN लाई कुन क्लाइन्ट प्रिफिक्सको मालिक हो भन्नुसरह होइन। प्रत्येक क्लाइन्टको सम्बन्धबिना प्याकेट सुरुङको इन्टरफेसमा पुग्छ र फालिन्छ, किनकि कुनै सहकर्मीले गन्तव्यको दाबी गर्दैन।

शाखाको पक्षमा, सम्बन्धित आवश्यकता भनेको पुग्नुपर्ने सञ्जालतर्फको मार्ग, साथै ट्राफिक शाखामा फर्काउन जान्ने LAN राउटर हो। सर्भर पक्षको स्वामित्व र क्लाइन्ट पक्षका गन्तव्य मार्ग फरक वस्तु हुन्, र चल्ने सुरुङले पहिलो फड्को मात्र प्रमाणित गर्छ। दुवै शाखाको हस्तान्तरण टिप्पणीमा लेख्नुहोस्, किनकि अर्को इन्जिनियरले तीमध्ये एउटा मात्र भेट्नेछ।

शाखा तपाईंले सोचेको सहकर्मी नै हो भनी प्रमाणित गर्ने

ट्राफिक जाँच्नु अघि पहिचान जाँच्नुहोस्। हबको लगमा शाखाको प्रमाणपत्रको सामान्य नाम देखिनुपर्छ, र क्लाइन्टले पाएको ठेगाना तपाईंले चाहेको समूह वा स्थिर बाँडफाँटसँग मिल्नुपर्छ। लगमा अर्को नाम देखिए प्रोफाइलले अरू कसैको पहिचान बोकिरहेको छ।

त्यसपछि शाखाको होस्टबाट हब पक्षको स्रोतमा एउटा अनुरोध पठाएर सम्बन्ध जाँच्नुहोस् र अपेक्षित स्रोत ठेगानासहित त्यो सफल हुन्छ भनी पुष्टि गर्नुहोस्। शाखा पुग्नु नहुने गन्तव्य परीक्षण गर्नुहोस् र त्यो असफल हुन्छ भनी पुष्टि गर्नुहोस्, किनकि संयोगले चल्ने खुकुलो मार्ग सही नीतिसरह हुँदैन।

अन्तमा शाखाको पहिचान रद्द गर्नुहोस् र हबको आफ्नै प्रमाणपत्र र अन्य साइट चलिरहँदा जडान असफल हुन्छ भनी पुष्टि गर्नुहोस्। यदि रद्दीकरणले हब भाँच्छ भने भूमिका र पहिचान कतै साझा भएका थिए, र त्यो डिजाइनमा फर्काउन लायकको खोज हो।

पूरा भएको शाखा भनेको अभिलेखित पहिचान, क्लाइन्ट-मात्र प्रोफाइल, हबमा सहकर्मी-देखि-सञ्जाल सम्बन्ध र परीक्षण गरिएको फर्कने बाटो भएको शाखा हो। सर्भर फाइलको पाठ उल्ट्याउँदा तपाईंले तीमध्ये एउटा पनि पाउनुहुन्न।