Client Export tegenover een uitgaande OpenVPN-instantie op pfSense

U installeert het Client Export-pakket, opent het, en de serverselectie is leeg. De voor de hand liggende conclusie is dat het pakket stuk is of dat pfSense helemaal niet als VPN-client kan werken, en beide zijn onjuist. De selectie is leeg omdat op pfSense geen server voor externe toegang is geconfigureerd, en het pakket was nooit het hulpmiddel om de firewall naar buiten te laten bellen. Twee verschillende taken delen één woord, en de lege lijst is het geluid van een van beide die om iets wordt gevraagd dat ze niet doet.

Bepaal wie begint voordat u iets installeert

Stel één vraag: welk apparaat begint de verbinding? Als een reizende medewerker verbinding maakt met de firewall van het kantoor, is pfSense de server en is de laptop van de medewerker de client. Het pakket dat u in dat geval nodig hebt, bereidt materiaal voor de laptop voor, want de laptop is de kant die belt.

Als pfSense verbinding maakt met de VPN-dienst van iemand anders, is de firewall de client en bezit de externe operator het eindpunt dat u belt.

Beide situaties gebruiken het woord client, en daar begint de verwarring. Het woord beschrijft een rol in één verbinding, niet een productcategorie.

De exporteur is een hulpmiddel aan de serverkant

Client Export neemt een server voor externe toegang die al op pfSense bestaat en produceert het materiaal dat een verbindend apparaat nodig heeft. Het leest de instellingen, certificaten en tunnelopties van die server en verpakt ze vervolgens voor gebruik elders.

Daarom vermeldt de selectie alleen servers in de modus Remote Access. Zonder zo'n server valt er niets te exporteren, en de lege lijst is een nauwkeurig verslag en geen storing. Maak eerst de server voor externe toegang aan en de selectie vult zichzelf. Die volgorde verwart mensen vaker dan welke instelling in het pakket dan ook.

De pakketreferentie vermeldt de afhankelijkheid duidelijk. Lees die voordat u aanneemt dat het pakket de server voor u kan aanmaken.

De uitgaande instantie is een aparte configuratie

pfSense tot client van een andere dienst maken betekent een OpenVPN clientinstantie aanmaken met het eindpunt, de poort, het protocol, de inloggegevens en het vertrouwensmateriaal van die provider. Netgate documenteert dit los van het exportpakket, omdat het een ander object in de configuratie is.

Het installeren van de exporteur vult geen van die velden, en geen enkel exportformaat genereert ze voor u. Als uw provider een profiel levert, importeert of schrijft u de waarden over in de instantie die u aanmaakt.

Houd de twee configuraties in aparte mentale dozen. De ene antwoordt andere apparaten; de andere vraagt een andere server om een tunnel.

Kies het exportformaat dat het apparaat kan gebruiken

Exporten komen als inline-configuraties, gebundelde archieven en installatieprogramma's voor specifieke clienttoepassingen. Kies op basis van wat het ontvangende apparaat werkelijk kan importeren, niet op basis van welke download het meest compleet lijkt.

Een inline-bestand is handig voor een client die geplakte configuratie accepteert. Een bundel bevat aparte bestanden en past bij een client die een map wil. Een installatieprogramma veronderstelt dat een bepaalde toepassing op dat platform acceptabel is, wat net zo goed een beleidsbeslissing als een technische is. Vraag welk programma het ontvangende team ondersteunt voordat u iets downloadt.

Sommige exporten bevatten certificaten en privésleutels, en het wachtwoord dat dat sleutelmateriaal beschermt kan verschillen van het accountwachtwoord van de gebruiker. Lever het materiaal via het goedgekeurde registratiekanaal in plaats van een volledige export als configuratievoorbeeld in een ticket te plakken.

Site-to-site heeft rollen en routes nodig, geen pakket

Een filiaaltunnel is weer een ander ontwerp. Bepaal welk eindpunt de serverrol heeft en welk de clientrol, en definieer daarna de gerouteerde netwerken aan beide zijden voordat u iets configureert.

Client Export heeft geen mening over de routes van de filiaal, de doorstuurrecht of de terugweg, want het voorbereiden van clientmateriaal voor externe toegang is de hele taak.

Schrijf eerst de rollen en de routelijst op, dan beantwoordt de pakketvraag zichzelf. Doe je het verkeerd, dan redt geen enkel exportformaat het ontwerp. Hetzelfde geldt voor de terugweg: een filiaal dat het centrum bereikt en geen antwoord kan krijgen, is geen werkende tunnel.