Client Export contra uma instância OpenVPN de saída no pfSense

Instala o pacote Client Export, abre-o e o seletor de servidores está vazio. A conclusão natural é que o pacote está avariado ou que o pfSense não pode de todo atuar como cliente VPN, e ambas estão erradas. O seletor está vazio porque o pfSense não tem nenhum servidor de acesso remoto configurado, e o pacote nunca foi a ferramenta para fazer a firewall marcar para fora. Duas tarefas diferentes partilham uma palavra, e a lista vazia é o som de uma delas a quem se pede algo que não faz.

Decida quem inicia antes de instalar seja o que for

Faça uma pergunta: que dispositivo inicia a ligação? Se um funcionário em viagem se liga à firewall do escritório, o pfSense é o servidor e o portátil do funcionário é o cliente. O pacote de que precisa nesse caso prepara material para o portátil, porque é o portátil o lado que marca.

Se o pfSense se liga ao serviço VPN de outra pessoa, a firewall é o cliente e o operador remoto detém o ponto final para onde marca.

Ambas as situações usam a palavra cliente, e é aí que começa a confusão. A palavra descreve um papel numa ligação, não uma categoria de produto.

O exportador é um auxiliar do lado do servidor

O Client Export pega num servidor de acesso remoto que já existe no pfSense e produz o material de que um dispositivo que se liga precisa. Lê as definições, os certificados e as opções de túnel desse servidor e depois empacota-os para uso noutro lugar.

É por isso que o seletor lista apenas servidores no modo Remote Access. Sem esse servidor não há nada para exportar, e a lista vazia é um relatório exato e não uma avaria. Crie primeiro o servidor de acesso remoto e o seletor enche-se sozinho. Essa ordem confunde as pessoas mais vezes do que qualquer definição dentro do pacote.

A referência do pacote indica a dependência com clareza. Leia-a antes de assumir que o pacote pode criar o servidor por si.

A instância de saída é uma configuração separada

Tornar o pfSense cliente de outro serviço significa criar uma OpenVPN instância de cliente com o ponto final, a porta, o protocolo, as credenciais e o material de confiança desse fornecedor. A Netgate documenta isso separadamente do pacote de exportação, porque é um objeto diferente na configuração.

Instalar o exportador não preenche nenhum desses campos e nenhum formato de exportação os vai gerar por si. Se o seu fornecedor fornecer um perfil, importa ou transcreve os valores para a instância que criar.

Mantenha as duas configurações em caixas mentais separadas. Uma responde a outros dispositivos; a outra pede um túnel a outro servidor.

Escolha o formato de exportação que o dispositivo consegue consumir

As exportações vêm como configurações em linha, arquivos empacotados e instaladores para aplicações cliente específicas. Escolha pelo que o dispositivo recetor consegue realmente importar, não pelo download que parece mais completo.

Um ficheiro em linha é cómodo para um cliente que aceita configuração colada. Um pacote transporta ficheiros separados e serve um cliente que quer uma pasta. Um instalador pressupõe que determinada aplicação é aceitável naquela plataforma, o que é uma decisão de política tanto como técnica. Pergunte que cliente a equipa recetora suporta antes de descarregar o que quer que seja.

Algumas exportações contêm certificados e chaves privadas, e a palavra-passe que protege esse material de chave pode diferir da palavra-passe da conta do utilizador. Entregue o material pelo canal de inscrição aprovado em vez de colar uma exportação completa num ticket como amostra de configuração.

Site-to-site precisa de papéis e rotas, não de um pacote

O túnel de uma filial é novamente um desenho diferente. Identifique que ponto final tem o papel de servidor e qual o de cliente, e depois defina as redes encaminhadas dos dois lados antes de configurar o que quer que seja.

O Client Export não tem opinião sobre as rotas da filial, a permissão de reencaminhamento ou o caminho de volta, porque preparar material de cliente de acesso remoto é todo o seu trabalho.

Escreva primeiro os papéis e a lista de rotas, e a questão do pacote responde-se sozinha. Se errar, nenhum formato de exportação salva o desenho. O mesmo se aplica ao caminho de volta: uma filial que chega ao centro e não pode receber resposta não é um túnel a funcionar.