OpenVPN ਸਰਵਰ ਦਾ ਸੰਰਚਨਾ ਸ਼ਾਖਾ ਵਿੱਚ ਕਾਪੀ ਕਰਨਾ ਕਿਉਂ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ
ਸ਼ਾਖਾ ਕਲਾਇੰਟ ਨੂੰ ਆਪਣੀ ਪਛਾਣ, ਕਲਾਇੰਟ-ਭੂਮਿਕਾ ਵਾਲੀ ਪ੍ਰੋਫ਼ਾਈਲ ਅਤੇ ਉਹ ਰੂਟ ਚਾਹੀਦਾ ਹੈ ਜੋ ਹਬ ਉਸ ਸਾਥੀ ਨਾਲ ਬੰਨ੍ਹਦਾ ਹੈ। ਸਰਵਰ ਫ਼ਾਈਲ ਕਾਪੀ ਕਰਨ ਨਾਲ ਗ਼ਲਤ ਭੂਮਿਕਾ ਕਾਪੀ ਹੁੰਦੀ ਹੈ।
ਚੱਲ ਰਹੇ ਸਰਵਰ ਦੀ ਸੰਰਚਨਾ ਦੀ ਕਾਪੀ ਬਣਾ ਕੇ, ਕੁਝ ਪਤੇ ਬਦਲ ਕੇ ਅਤੇ ਇਸਨੂੰ ਸ਼ਾਖਾ ਪ੍ਰੋਫ਼ਾਈਲ ਕਹਿਣ ਨਾਲ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਕਨੈਕਸ਼ਨ ਬਣ ਜਾਂਦਾ ਹੈ। ਇਹ ਸਭ ਤੋਂ ਭੈੜਾ ਨਤੀਜਾ ਹੈ, ਕਿਉਂਕਿ ਫਿਰ ਸ਼ਾਖਾ ਗ਼ਲਤ ਭੂਮਿਕਾ ਵਿੱਚ ਚੱਲਦੀ ਹੈ, ਉਹ ਸਮੱਗਰੀ ਜ਼ਾਹਰ ਕਰਦੀ ਹੈ ਜੋ ਹਬ ਤੋਂ ਬਾਹਰ ਨਹੀਂ ਜਾਣੀ ਚਾਹੀਦੀ, ਅਤੇ ਇੱਕ ਰੂਟ ਸਬੰਧ ਛੱਡ ਜਾਂਦੀ ਹੈ ਜਿਸਨੂੰ ਕਿਸੇ ਨੂੰ ਯਾਦ ਨਹੀਂ ਕਿ ਉਸਨੇ ਬਣਾਇਆ ਸੀ। ਕਨੈਕਸ਼ਨ ਇੱਕੋ ਸਮੇਂ ਤਿੰਨ ਸਮੱਸਿਆਵਾਂ ਲੁਕਾਉਂਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਉਹਨਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਟਨਲ ਉੱਪਰ ਆ ਜਾਂਦੀ ਹੈ।
ਸ਼ਾਖਾ ਨੂੰ ਆਪਣੀ ਪਛਾਣ ਅਤੇ ਨੈੱਟਵਰਕ ਭੂਮਿਕਾ ਵਾਲਾ ਸਾਥੀ ਮੰਨਣਾ ਹੀ ਪ੍ਰੋਫ਼ਾਈਲ ਨੂੰ ਸਹੀ ਬਣਾਉਂਦਾ ਹੈ। ਹੱਲ ਵਧੀਆ ਨਕਲ ਨਹੀਂ ਹੈ, ਅਤੇ ਇਸ ਪੰਨੇ ਦਾ ਬਾਕੀ ਹਿੱਸਾ ਇਸ ਬਾਰੇ ਹੈ ਕਿ ਕਲਾਇੰਟ ਨੂੰ ਅਸਲ ਵਿੱਚ ਕੀ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ।
ਇੱਕ ਹੀ ਫ਼ਾਈਲ ਵਰਗੀਆਂ ਦੋ ਭੂਮਿਕਾਵਾਂ
TLS ਮੋਡ ਵਿੱਚ ਦੋਵੇਂ ਧਿਰਾਂ ਦੇ ਕੰਮ ਪੂਰਕ ਹੁੰਦੇ ਹਨ। ਇੱਕ ਧਿਰ ਸੁਣਦੀ ਹੈ, ਸਰਵਰ ਦਾ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕੁੰਜੀ ਰੱਖਦੀ ਹੈ, ਅਤੇ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਕਿਹੜੇ ਕਲਾਇੰਟ ਜੁੜ ਸਕਦੇ ਹਨ। ਦੂਜੀ ਧਿਰ ਸ਼ੁਰੂ ਕਰਦੀ ਹੈ, ਸੁਣਨ ਵਾਲੇ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦੀ ਹੈ ਅਤੇ ਆਪਣੀ ਪਛਾਣ ਪੇਸ਼ ਕਰਦੀ ਹੈ।
ਸਰਵਰ ਫ਼ਾਈਲ ਵਿੱਚ ਅਜਿਹੇ ਨਿਰਦੇਸ਼ ਹੁੰਦੇ ਹਨ ਜਿਨ੍ਹਾਂ ਦਾ ਕਲਾਇੰਟ ਉੱਤੇ ਕੋਈ ਅਰਥ ਨਹੀਂ: ਸੁਣਨ ਲਈ ਬਾਈਂਡ ਪਤਾ ਅਤੇ ਪੋਰਟ, ਵੰਡਣ ਲਈ ਪਤਿਆਂ ਦਾ ਪੂਲ, ਅਤੇ ਅਕਸਰ ਉਹਨਾਂ ਸੈਟਿੰਗਾਂ ਲਈ ਧੱਕਣ ਵਾਲੀ ਸੂਚੀ ਜੋ ਕਲਾਇੰਟਾਂ ਨੂੰ ਮਿਲਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ। ਇਹਨਾਂ ਨੂੰ ਸ਼ਾਖਾ ਵਿੱਚ ਕਾਪੀ ਕਰਨ ਨਾਲ ਅਜਿਹਾ ਯੰਤਰ ਬਣਦਾ ਹੈ ਜੋ ਇੱਕੋ ਸਮੇਂ ਸੁਣਨ ਵਾਲਾ ਅਤੇ ਕਲਾਇੰਟ ਦੋਵੇਂ ਬਣਨਾ ਚਾਹੁੰਦਾ ਹੈ।
ਨਿੱਜੀ ਕੁੰਜੀ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਹਿੱਸਾ ਹੈ। ਕਲਾਇੰਟ ਨੂੰ ਕਦੇ ਵੀ ਸਰਵਰ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਨਹੀਂ ਚੁੱਕਣੀ ਚਾਹੀਦੀ, ਅਤੇ ਉਸਨੂੰ CA ਦੀ ਦਸਤਖ਼ਤ ਕੁੰਜੀ ਦੀ ਵੀ ਲੋੜ ਨਹੀਂ। CA ਸਰਟੀਫਿਕੇਟ ਜਨਤਕ ਭਰੋਸੇ ਦੀ ਸਮੱਗਰੀ ਹੈ; ਦਸਤਖ਼ਤ ਕੁੰਜੀ ਉੱਥੇ ਰਹਿੰਦੀ ਹੈ ਜਿੱਥੇ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਹੁੰਦੇ ਹਨ।
ਸ਼ਾਖਾ ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ ਕੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ
ਸ਼ਾਖਾ ਪ੍ਰੋਫ਼ਾਈਲ ਨੂੰ ਦੂਰ ਦਾ ਅੰਤ ਬਿੰਦੂ ਅਤੇ ਆਵਾਜਾਈ, ਭਰੋਸੇਯੋਗ ਸਰਵਰ ਪਛਾਣ, ਸ਼ਾਖਾ ਦਾ ਆਪਣਾ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕੁੰਜੀ, ਅਤੇ ਉਹ ਰੂਟ ਤੇ DNS ਸੈਟਿੰਗਾਂ ਚਾਹੀਦੀਆਂ ਹਨ ਜੋ ਸ਼ਾਖਾ ਨੂੰ ਅਸਲ ਵਿੱਚ ਲੋੜੀਂਦੀਆਂ ਹਨ। ਹੋਰ ਕੁਝ ਲਾਜ਼ਮੀ ਨਹੀਂ।
ਹਰ ਸਾਈਟ ਲਈ ਸ਼ਾਖਾ ਦੀ ਪਛਾਣ ਵੱਖਰੀ ਰੱਖੋ। ਦੋ ਸ਼ਾਖਾਵਾਂ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਸਾਂਝਾ ਕਰਨ ਤਾਂ ਇੱਕ ਰੱਦ ਕਰਨ ਨਾਲ ਦੂਜੀ ਬੰਦ ਹੋ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਹਬ ਦੇ ਲਾਗ ਉਹਨਾਂ ਨੂੰ ਵੱਖ ਨਹੀਂ ਕਰ ਸਕਦੇ। ਸਾਈਟ ਅਨੁਸਾਰ ਪਛਾਣ ਹੀ ਆਡਿਟ ਟ੍ਰੇਲ ਅਤੇ ਰੱਦ ਕਰਨ ਦੀ ਕਹਾਣੀ ਦੋਵੇਂ ਚਲਾਉਂਦੀ ਹੈ।
ਯੰਤਰਾਂ ਦੇ ਕੰਮ ਦੇ ਪ੍ਰਵਾਹਾਂ ਨਾਲ ਸਾਵਧਾਨ ਰਹੋ। pfSense ਦਾ Client Export ਪੈਕੇਜ ਯੋਗ Remote Access ਸੰਦਰਭਾਂ ਲਈ ਪ੍ਰੋਫ਼ਾਈਲ ਬਣਾਉਂਦਾ ਹੈ, ਅਤੇ ਇਸਦੀ ਸਰਵਰ ਸੂਚੀ ਵਿੱਚ ਸਿਰਫ਼ ਉਹ ਸਰਵਰ ਹੁੰਦੇ ਹਨ ਜੋ Remote Access ਮੋਡ ਵਿੱਚ ਸੰਰਚਿਤ ਹਨ। ਕਿਸੇ ਹੋਰ ਮੋਡ ਦਾ ਸਾਈਟ-ਤੋਂ-ਸਾਈਟ ਸਰਵਰ ਨਹੀਂ ਦਿਸਦਾ, ਅਤੇ ਇਹ ਗੈਰਹਾਜ਼ਰੀ ਜਾਣਕਾਰੀ ਹੈ, ਸਰਵਰ ਦੇ ਭੇਦ ਕਾਪੀ ਕਰਨ ਦਾ ਸੱਦਾ ਨਹੀਂ।
ਜੇ ਯੰਤਰ ਤੁਹਾਨੂੰ ਲੋੜੀਂਦੀ ਪ੍ਰੋਫ਼ਾਈਲ ਨਿਰਯਾਤ ਨਹੀਂ ਕਰਦਾ, ਤਾਂ ਇਸਦਾ ਦਸਤਾਵੇਜ਼ੀ ਸਾਈਟ-ਤੋਂ-ਸਾਈਟ ਕਲਾਇੰਟ ਕੰਮ ਦਾ ਪ੍ਰਵਾਹ ਵਰਤੋ ਜਾਂ ਸਥਾਪਿਤ ਰੀਲੀਜ਼ ਦੇ ਸਮਰਥਿਤ ਉਦਾਹਰਨ ਤੋਂ ਪ੍ਰੋਫ਼ਾਈਲ ਬਣਾਓ। ਸਰਵਰ ਬੈਕਅੱਪ ਸ਼ਾਖਾ ਵਿੱਚ ਸਿਰਫ਼ ਤਦ ਨਿਰਯਾਤ ਕਰੋ ਜਦੋਂ ਯੋਜਨਾ ਸਰਵਰ ਬਹਾਲ ਕਰਨ ਦੀ ਹੋਵੇ, ਜੋ ਨਹੀਂ ਹੈ। ਬੈਕਅੱਪ ਹਬ ਦੀ ਨਿੱਜੀ ਸਮੱਗਰੀ ਵੀ ਲੈ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਨੂੰ ਸ਼ਾਖਾ ਵਿੱਚ ਭੇਜਣਾ ਕੁੰਜੀ ਸੰਭਾਲ ਦਾ ਫ਼ੈਸਲਾ ਹੈ, ਫ਼ਾਈਲ ਟ੍ਰਾਂਸਫਰ ਨਹੀਂ। ਇਸਨੂੰ ਹਬ ਉੱਤੇ ਰੱਖੋ ਅਤੇ ਕਲਾਇੰਟ ਪਛਾਣ ਉੱਥੇ ਬਣਾਓ ਜਿੱਥੇ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਹੁੰਦੇ ਹਨ।
ਸਾਥੀ-ਤੋਂ-ਨੈੱਟਵਰਕ ਸਬੰਧ ਵੱਖਰਾ ਹੈ
ਸਫਲਤਾਪੂਰਵਕ ਜੁੜਨ ਵਾਲਾ ਸ਼ਾਖਾ ਕਲਾਇੰਟ ਅਜੇ ਵੀ ਆਪਣੇ LAN ਲਈ ਟ੍ਰੈਫਿਕ ਨਹੀਂ ਲੰਘਾ ਸਕਦਾ, ਜਦ ਤੱਕ ਹਬ ਨੂੰ ਪਤਾ ਨਾ ਹੋਵੇ ਕਿ ਇਹ ਸਾਥੀ ਉਸ ਪ੍ਰੀਫ਼ਿਕਸ ਦਾ ਮਾਲਕ ਹੈ। ਉਹ ਸਬੰਧ ਹਬ ਉੱਤੇ ਰਹਿੰਦਾ ਹੈ, ਕਲਾਇੰਟ ਦੀ ਪਛਾਣ ਨਾਲ ਬੱਝਿਆ, ਅਤੇ ਸ਼ਾਖਾ ਦੇ ਆਪਣੇ ਦੂਰ ਦੇ ਨੈੱਟਵਰਕਾਂ ਵੱਲ ਦੇ ਰੂਟ ਤੋਂ ਵੱਖਰਾ ਹੈ। ਇਸ ਤੋਂ ਬਿਨਾਂ ਸ਼ਾਖਾ ਦੇ ਹੋਸਟ ਟਨਲ ਦੇ ਅੰਕੜਿਆਂ ਵਿੱਚ ਪਹੁੰਚਯੋਗ ਦਿਸਦੇ ਹਨ ਅਤੇ ਅਮਲ ਵਿੱਚ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਹੁੰਦੇ। ਹਬ ਦਾ ਲਾਗ ਹੀ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਪੁਸ਼ਟੀ ਹੁੰਦੀ ਹੈ ਕਿ ਸਬੰਧ ਲਾਗੂ ਹੋਇਆ ਜਾਂ ਨਹੀਂ।
ਹਬ ਦੇ ਆਪਰੇਟਿੰਗ ਸਿਸਟਮ ਵਿੱਚ ਰੂਟ ਜੋੜਨਾ OpenVPN ਨੂੰ ਇਹ ਦੱਸਣ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਕਿ ਕਿਹੜਾ ਕਲਾਇੰਟ ਪ੍ਰੀਫ਼ਿਕਸ ਦਾ ਮਾਲਕ ਹੈ। ਹਰ ਕਲਾਇੰਟ ਦੇ ਸਬੰਧ ਤੋਂ ਬਿਨਾਂ ਪੈਕਟ ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਅਤੇ ਸੁੱਟ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਕੋਈ ਸਾਥੀ ਮੰਜ਼ਿਲ ਦਾ ਦਾਅਵਾ ਨਹੀਂ ਕਰਦਾ।
ਸ਼ਾਖਾ ਵੱਲ, ਸੰਬੰਧਿਤ ਲੋੜ ਉਹਨਾਂ ਨੈੱਟਵਰਕਾਂ ਵੱਲ ਰੂਟ ਹੈ ਜਿੱਥੇ ਪਹੁੰਚਣਾ ਚਾਹੀਦਾ ਹੈ, ਨਾਲ ਹੀ ਇੱਕ LAN ਰਾਊਟਰ ਜੋ ਟ੍ਰੈਫਿਕ ਸ਼ਾਖਾ ਵਿੱਚ ਵਾਪਸ ਭੇਜਣਾ ਜਾਣਦਾ ਹੈ। ਸਰਵਰ ਵੱਲ ਮਾਲਕੀ ਅਤੇ ਕਲਾਇੰਟ ਵੱਲ ਮੰਜ਼ਿਲ ਰੂਟ ਵੱਖਰੀਆਂ ਵਸਤੂਆਂ ਹਨ, ਅਤੇ ਚੱਲਦਾ ਟਨਲ ਸਿਰਫ਼ ਪਹਿਲੀ ਛਾਲ ਸਾਬਤ ਕਰਦਾ ਹੈ। ਦੋਵੇਂ ਸ਼ਾਖਾ ਦੇ ਹੈਂਡਓਵਰ ਨੋਟਾਂ ਵਿੱਚ ਲਿਖੋ, ਕਿਉਂਕਿ ਅਗਲੇ ਇੰਜੀਨੀਅਰ ਨੂੰ ਇਹਨਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਮਿਲੇਗਾ।
ਸਾਬਤ ਕਰਨਾ ਕਿ ਸ਼ਾਖਾ ਉਹੀ ਸਾਥੀ ਹੈ ਜੋ ਤੁਸੀਂ ਸੋਚਦੇ ਹੋ
ਟ੍ਰੈਫਿਕ ਦੀ ਜਾਂਚ ਤੋਂ ਪਹਿਲਾਂ ਪਛਾਣ ਦੀ ਜਾਂਚ ਕਰੋ। ਹਬ ਦੇ ਲਾਗ ਵਿੱਚ ਸ਼ਾਖਾ ਦੇ ਸਰਟੀਫਿਕੇਟ ਦਾ ਆਮ ਨਾਮ ਦਿਸਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਨੂੰ ਮਿਲਿਆ ਪਤਾ ਤੁਹਾਡੇ ਇੱਛਤ ਪੂਲ ਜਾਂ ਸਥਿਰ ਅਲਾਟਮੈਂਟ ਨਾਲ ਮੇਲ ਖਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਜੇ ਲਾਗ ਵਿੱਚ ਹੋਰ ਨਾਮ ਦਿਸੇ, ਤਾਂ ਪ੍ਰੋਫ਼ਾਈਲ ਕਿਸੇ ਹੋਰ ਦੀ ਪਛਾਣ ਲੈ ਕੇ ਜਾ ਰਿਹਾ ਹੈ।
ਫਿਰ ਸ਼ਾਖਾ ਦੇ ਹੋਸਟ ਤੋਂ ਹਬ ਵੱਲ ਦੇ ਸਰੋਤ ਨੂੰ ਇੱਕ ਬੇਨਤੀ ਭੇਜ ਕੇ ਸਬੰਧ ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਇਹ ਉਮੀਦ ਕੀਤੇ ਸਰੋਤ ਪਤੇ ਨਾਲ ਸਫਲ ਹੁੰਦਾ ਹੈ। ਅਜਿਹੀ ਮੰਜ਼ਿਲ ਦੀ ਪਰਖ ਕਰੋ ਜਿੱਥੇ ਸ਼ਾਖਾ ਨੂੰ ਨਹੀਂ ਪਹੁੰਚਣਾ ਚਾਹੀਦਾ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਇਹ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਸੰਜੋਗ ਨਾਲ ਚੱਲਣ ਵਾਲਾ ਢਿੱਲਾ ਰੂਟ ਸਹੀ ਨੀਤੀ ਵਰਗਾ ਨਹੀਂ ਹੁੰਦਾ।
ਅੰਤ ਵਿੱਚ ਸ਼ਾਖਾ ਦੀ ਪਛਾਣ ਰੱਦ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਨੈਕਸ਼ਨ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਕਿ ਹਬ ਦਾ ਆਪਣਾ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਹੋਰ ਸਾਈਟਾਂ ਕੰਮ ਕਰਦੀਆਂ ਰਹਿੰਦੀਆਂ ਹਨ। ਜੇ ਰੱਦ ਕਰਨ ਨਾਲ ਹਬ ਟੁੱਟਦਾ ਹੈ, ਤਾਂ ਭੂਮਿਕਾਵਾਂ ਅਤੇ ਪਛਾਣਾਂ ਕਿਤੇ ਸਾਂਝੀਆਂ ਹੋਈਆਂ ਸਨ, ਅਤੇ ਇਹੀ ਉਹ ਖੋਜ ਹੈ ਜੋ ਡਿਜ਼ਾਈਨ ਤੱਕ ਵਾਪਸ ਲਿਜਾਣ ਯੋਗ ਹੈ।
ਪੂਰੀ ਸ਼ਾਖਾ ਉਹ ਹੈ ਜਿਸ ਕੋਲ ਦਸਤਾਵੇਜ਼ੀ ਪਛਾਣ, ਸਿਰਫ਼-ਕਲਾਇੰਟ ਪ੍ਰੋਫ਼ਾਈਲ, ਹਬ ਉੱਤੇ ਸਾਥੀ-ਤੋਂ-ਨੈੱਟਵਰਕ ਸਬੰਧ ਅਤੇ ਪਰਖਿਆ ਹੋਇਆ ਵਾਪਸੀ ਰਾਹ ਹੈ। ਸਰਵਰ ਫ਼ਾਈਲ ਵਿੱਚ ਲਿਖਤ ਉਲਟਣ ਨਾਲ ਤੁਹਾਨੂੰ ਇਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵੀ ਨਹੀਂ ਮਿਲਦਾ।