Client Export kontra wychodząca instancja OpenVPN na pfSense

Instalujesz pakiet Client Export, otwierasz go, a selektor serwera jest pusty. Naturalny wniosek jest taki, że pakiet jest zepsuty albo że pfSense w ogóle nie może działać jako klient VPN, i oba są błędne. Selektor jest pusty, ponieważ w pfSense nie skonfigurowano serwera dostępu zdalnego, a pakiet nigdy nie był narzędziem, które każe zaporze dzwonić na zewnątrz. Dwa różne zadania dzielą jedno słowo, a pusta lista jest dźwiękiem tego, że jedno z nich jest proszone o coś, czego nie robi.

Zdecyduj, kto zaczyna, zanim cokolwiek zainstalujesz

Zadaj jedno pytanie: które urządzenie rozpoczyna połączenie? Jeśli podróżujący pracownik łączy się z zaporą biurową, pfSense jest serwerem, a laptop pracownika klientem. Pakiet potrzebny w tym przypadku przygotowuje materiał dla laptopa, ponieważ laptop jest stroną, która dzwoni.

Jeśli pfSense łączy się z usługą VPN kogoś innego, zapora jest klientem, a zdalny operator posiada punkt końcowy, do którego dzwonisz.

Obie sytuacje używają słowa klient i tam zaczyna się zamieszanie. Słowo opisuje rolę w jednym połączeniu, a nie kategorię produktu.

Eksporter jest pomocnikiem po stronie serwera

Client Export bierze serwer dostępu zdalnego, który już istnieje w pfSense, i tworzy materiał potrzebny podłączającemu się urządzeniu. Odczytuje ustawienia, certyfikaty i opcje tunelu tego serwera, a następnie pakuje je do użycia gdzie indziej.

Dlatego selektor wymienia tylko serwery w trybie Remote Access. Bez takiego serwera nie ma czego eksportować, a pusta lista jest dokładnym raportem, nie usterką. Najpierw utwórz serwer dostępu zdalnego, a selektor sam się wypełni. Ta kolejność myli ludzi częściej niż jakiekolwiek ustawienie w pakiecie.

Dokumentacja pakietu jasno wskazuje tę zależność. Przeczytaj ją, zanim uznasz, że pakiet może utworzyć serwer za ciebie.

Wychodząca instancja to osobna konfiguracja

Uczynienie pfSense klientem innej usługi oznacza utworzenie OpenVPN instancji klienta z punktem końcowym, portem, protokołem, poświadczeniami i materiałem zaufania tego dostawcy. Netgate dokumentuje to osobno od pakietu eksportu, ponieważ jest to inny obiekt w konfiguracji.

Instalacja eksportera nie wypełnia żadnego z tych pól i żaden format eksportu ich za ciebie nie wygeneruje. Jeśli dostawca udostępnia profil, importujesz lub przepisujesz jego wartości do tworzonej instancji.

Trzymaj obie konfiguracje w osobnych pudełkach myślowych. Jedna odpowiada innym urządzeniom; druga prosi inny serwer o tunel.

Wybierz format eksportu, który urządzenie może wykorzystać

Eksporty występują jako konfiguracje wbudowane, spakowane archiwa i instalatory dla konkretnych aplikacji klienckich. Wybieraj według tego, co urządzenie odbierające naprawdę może zaimportować, a nie według tego, który plik wygląda najkompletniej.

Plik wbudowany jest wygodny dla klienta, który akceptuje wklejoną konfigurację. Pakiet przenosi osobne pliki i pasuje do klienta, który chce katalogu. Instalator zakłada, że dana aplikacja jest akceptowalna na tej platformie, co jest decyzją polityczną w takim samym stopniu jak techniczną. Zapytaj, którego klienta wspiera zespół odbierający, zanim cokolwiek pobierzesz.

Niektóre eksporty zawierają certyfikaty i klucze prywatne, a hasło chroniące ten materiał klucza może różnić się od hasła konta użytkownika. Przekazuj materiał zatwierdzonym kanałem rejestracji, zamiast wklejać pełny eksport do zgłoszenia jako przykład konfiguracji.

Site-to-site wymaga ról i tras, a nie pakietu

Tunel oddziału to znowu inny projekt. Ustal, który punkt końcowy pełni rolę serwera, a który rolę klienta, a następnie przed konfiguracją zdefiniuj sieci routowane po obu stronach.

Client Export nie ma zdania o trasach oddziału, zgodzie na przekazywanie ani drodze powrotnej, ponieważ przygotowanie materiału klienta dostępu zdalnego to cała jego praca.

Najpierw zapisz role i listę tras, a pytanie o pakiet odpowie samo. Jeśli się pomylisz, żaden format eksportu nie uratuje projektu. To samo dotyczy drogi powrotnej: oddział, który dociera do centrum, ale nie może otrzymać odpowiedzi, nie jest działającym tunelem.