Client Export против исходящего экземпляра OpenVPN на pfSense

Вы устанавливаете пакет Client Export, открываете его, и список серверов пуст. Естественный вывод — пакет сломан или pfSense вообще не может работать как VPN-клиент, и оба неверны. Список пуст, потому что в pfSense не настроен сервер удалённого доступа, а пакет никогда не был средством, заставляющим межсетевой экран набирать наружу. Две разные задачи делят одно слово, и пустой список — это звук того, что у одной из них просят то, чего она не делает.

Решите, кто начинает, прежде чем что-либо устанавливать

Задайте один вопрос: какое устройство начинает соединение? Если командированный сотрудник подключается к офисному межсетевому экрану, pfSense — это сервер, а ноутбук сотрудника — клиент. Пакет, который нужен в этом случае, готовит материал для ноутбука, потому что именно ноутбук набирает.

Если pfSense подключается к чужой службе VPN, межсетевой экран является клиентом, а удалённый оператор владеет конечной точкой, куда вы подключаетесь.

В обеих ситуациях используется слово клиент, и именно здесь начинается путаница. Слово описывает роль в одном соединении, а не категорию продукта.

Экспортёр — это помощник на стороне сервера

Client Export берёт сервер удалённого доступа, который уже существует на pfSense, и создаёт материал, необходимый подключаемому устройству. Он читает настройки этого сервера, сертификаты и параметры туннеля, а затем упаковывает их для использования в другом месте.

Поэтому список содержит только серверы в режиме Remote Access. Без такого сервера экспортировать нечего, и пустой список — точный отчёт, а не неисправность. Сначала создайте сервер удалённого доступа, и список заполнится сам. Этот порядок путает людей чаще, чем любая настройка внутри пакета.

Справочная документация пакета ясно указывает на эту зависимость. Прочитайте её, прежде чем предполагать, что пакет может создать сервер за вас.

Исходящий экземпляр — это отдельная конфигурация

Сделать pfSense клиентом другой службы значит создать OpenVPN клиентский экземпляр с конечной точкой, портом, протоколом, учётными данными и материалом доверия этого провайдера. Netgate документирует это отдельно от экспортного пакета, потому что это другой объект в конфигурации.

Установка экспортёра не заполняет ни одного из этих полей, и ни один формат экспорта не создаст их за вас. Если провайдер предоставляет профиль, вы импортируете или переносите его значения в создаваемый экземпляр.

Держите две конфигурации в отдельных мысленных коробках. Одна отвечает другим устройствам; другая просит туннель у другого сервера.

Выберите формат экспорта, который устройство может использовать

Экспорт поставляется как встроенные конфигурации, упакованные архивы и установщики для конкретных клиентских приложений. Выбирайте по тому, что принимающее устройство действительно может импортировать, а не по тому, какая загрузка кажется наиболее полной.

Встроенный файл удобен для клиента, который принимает вставленную конфигурацию. Пакет несёт отдельные файлы и подходит клиенту, которому нужен каталог. Установщик предполагает, что определённое приложение допустимо на этой платформе, а это решение политики не меньше, чем техническое. Спросите, какой клиент поддерживает принимающая команда, прежде чем что-либо скачивать.

Некоторые экспорты содержат сертификаты и закрытые ключи, а пароль, защищающий этот ключевой материал, может отличаться от пароля учётной записи пользователя. Передавайте материал по утверждённому каналу регистрации, а не вставляйте полный экспорт в заявку как пример конфигурации.

Site-to-site требует ролей и маршрутов, а не пакета

Туннель филиала — это снова другой проект. Определите, какая конечная точка исполняет роль сервера, а какая — роль клиента, затем до настройки определите маршрутизируемые сети с обеих сторон.

У Client Export нет мнения о маршрутах филиала, разрешении пересылки или обратном пути, потому что подготовка материала клиента удалённого доступа — вся его работа.

Сначала запишите роли и список маршрутов, и вопрос о пакете решится сам. Если ошибётесь, никакой формат экспорта не спасёт проект. То же относится к обратному пути: филиал, который достигает центра, но не может получить ответ, — это не работающий туннель.