Client Export nasuprot izlaznoj OpenVPN instanci na pfSenseu

Instalirate paket Client Export, otvorite ga, a birač poslužitelja je prazan. Prirodan zaključak je da je paket pokvaren ili da pfSense uopće ne može biti VPN klijent, a oboje je pogrešno. Birač je prazan jer na pfSenseu nije konfiguriran poslužitelj za daljinski pristup, a paket nikada nije bio alat koji tjera vatrozid da zove prema van. Dva različita posla dijele jednu riječ, a prazan popis je zvuk jednoga od njih od kojeg se traži nešto što ne radi.

Odlučite ko započinje prije instalacije bilo čega

Postavite jedno pitanje: koji uređaj započinje vezu? Ako se zaposlenik na putu spaja na uredski vatrozid, pfSense je poslužitelj, a zaposlenikovo prijenosno računalo je klijent. Paket koji vam u tom slučaju treba priprema materijal za prijenosno računalo, jer ono je strana koja zove.

Ako se pfSense spaja na nečiju tuđu VPN uslugu, vatrozid je klijent, a udaljeni operater posjeduje krajnju točku na koju se spajate.

Obje situacije koriste riječ klijent i tu počinje zabuna. Riječ opisuje ulogu u jednoj vezi, a ne kategoriju proizvoda.

Izvoznik je pomoćnik na strani poslužitelja

Client Export uzima poslužitelj za daljinski pristup koji već postoji na pfSenseu i proizvodi materijal potreban uređaju koji se spaja. Čita postavke, certifikate i opcije tunela tog poslužitelja, pa ih pakira za korištenje drugdje.

Zato birač navodi samo poslužitelje u načinu Remote Access. Bez takvog poslužitelja nema se što izvesti, a prazan popis je točno izvješće, a ne kvar. Prvo stvorite poslužitelj za daljinski pristup i birač će se sam popuniti. Taj redoslijed zbunjuje ljude češće od bilo koje postavke unutar paketa.

Referenca paketa jasno navodi tu ovisnost. Pročitajte je prije nego pretpostavite da paket može stvoriti poslužitelj umjesto vas.

Izlazna instanca je zasebna konfiguracija

Učiniti pfSense klijentom neke druge usluge znači stvoriti OpenVPN klijentsku instancu s krajnjom točkom, portom, protokolom, vjerodajnicama i materijalom povjerenja tog pružatelja. Netgate to dokumentira odvojeno od paketa za izvoz jer je to drugi objekt u konfiguraciji.

Instalacija izvoznika ne popunjava nijedno od tih polja i nijedan format izvoza ih neće generirati umjesto vas. Ako vaš pružatelj daje profil, uvozite ili prepisujete njegove vrijednosti u instancu koju stvarate.

Držite dvije konfiguracije u odvojenim mentalnim kutijama. Jedna odgovara drugim uređajima; druga traži tunel od drugog poslužitelja.

Odaberite format izvoza koji uređaj može konzumirati

Izvoz dolazi kao ugrađene konfiguracije, zapakirane arhive i instalateri za određene klijentske aplikacije. Odaberite prema onome što prijemni uređaj stvarno može uvesti, a ne prema tome koje preuzimanje izgleda najpotpunije.

Ugrađena datoteka prikladna je za klijenta koji prihvaća zalijepljenu konfiguraciju. Arhiva nosi zasebne datoteke i odgovara klijentu koji želi mapu. Instalater pretpostavlja da je određena aplikacija prihvatljiva na toj platformi, što je politička odluka koliko i tehnička. Pitajte koji klijent prijemni tim podržava prije nego bilo što preuzmete.

Neki izvozi sadrže certifikate i privatne ključeve, a lozinka koja štiti taj ključni materijal može se razlikovati od korisničke lozinke računa. Dostavite materijal odobrenim kanalom za upis umjesto da cijeli izvoz zalijepite u zahtjev kao primjer konfiguracije.

Site-to-site traži uloge i rute, ne paket

Tunel podružnice opet je drugačiji dizajn. Utvrdite koja krajnja točka ima ulogu poslužitelja, a koja ulogu klijenta, zatim definirajte rutirane mreže s obje strane prije nego što bilo što konfigurirate.

Client Export nema mišljenje o rutama podružnice, dopuštenju za prosljeđivanje ili povratnom putu, jer priprema materijala za klijenta daljinskog pristupa cijeli je njegov posao.

Prvo zapišite uloge i popis ruta i pitanje paketa samo se rješava. Pogriješite li, nijedan format izvoza ne spašava dizajn. Isto vrijedi za povratni put: podružnica koja može doći do središta, a ne može dobiti odgovor, nije ispravan tunel.