Client Export versus odchádzajúca inštancia OpenVPN na pfSense

Nainštalujete balík Client Export, otvoríte ho a výber servera je prázdny. Prirodzený záver je, že balík je pokazený alebo že pfSense vôbec nemôže byť klientom VPN, a oboje je nesprávne. Výber je prázdny, pretože v pfSense nie je nakonfigurovaný server pre vzdialený prístup, a balík nikdy nebol nástrojom, ktorý núti firewall vytáčať von. Dve rôzne úlohy zdieľajú jedno slovo a prázdny zoznam je zvukom jednej z nich, od ktorej sa žiada niečo, čo nerobí.

Rozhodnite, kto začína, skôr než čokoľvek nainštalujete

Položte si jednu otázku: ktoré zariadenie začína spojenie? Ak sa cestujúci zamestnanec pripája k fireomnému firewallu, pfSense je server a zamestnancov notebook je klient. Balík, ktorý v takom prípade potrebujete, pripravuje materiál pre notebook, pretože notebook je strana, ktorá vytáča.

Ak sa pfSense pripája k VPN službe niekoho iného, firewall je klient a vzdialený operátor vlastní koncový bod, ku ktorému vytáčate.

Obe situácie používajú slovo klient a práve tam začína zmätok. Slovo opisuje rolu v jednom spojení, nie kategóriu produktu.

Exportér je pomocník na strane servera

Client Export vezme server pre vzdialený prístup, ktorý v pfSense už existuje, a vytvorí materiál, ktorý pripájajúce sa zariadenie potrebuje. Prečíta nastavenia tohto servera, certifikáty a možnosti tunela a potom ich zabalí na použitie inde.

Preto výber uvádza iba servery v režime Remote Access. Bez takého servera niet čo exportovať a prázdny zoznam je presná správa, nie porucha. Najprv vytvorte server pre vzdialený prístup a výber sa sám naplní. Toto poradie mýli ľudí častejšie než akékoľvek nastavenie vnútri balíka.

Referenčná príručka balíka túto závislosť jasne uvádza. Prečítajte si ju, skôr než budete predpokladať, že balík dokáže server vytvoriť za vás.

Odchádzajúca inštancia je samostatná konfigurácia

Urobiť z pfSense klienta inej služby znamená vytvoriť OpenVPN klientsku inštanciu s koncovým bodom, portom, protokolom, prihlasovacími údajmi a materiálom dôvery daného poskytovateľa. Netgate to dokumentuje oddelene od exportného balíka, pretože ide o iný objekt v konfigurácii.

Inštalácia exportéra nevyplní žiadne z týchto polí a žiadny exportný formát ich za vás nevygeneruje. Ak váš poskytovateľ dodá profil, naimportujete alebo prepíšete jeho hodnoty do inštancie, ktorú vytvárate.

Udržujte obe konfigurácie v oddelených myšlienkových škatuliach. Jedna odpovedá iným zariadeniam; druhá žiada tunel od iného servera.

Zvoľte exportný formát, ktorý zariadenie dokáže spracovať

Exporty prichádzajú ako vložené konfigurácie, zabalené archívy a inštalátory pre konkrétne klientske aplikácie. Vyberajte podľa toho, čo prijímajúce zariadenie skutočne dokáže importovať, nie podľa toho, ktorá stiahnutá položka vyzerá najúplnejšie.

Vložený súbor je vhodný pre klienta, ktorý prijíma vloženú konfiguráciu. Archív nesie samostatné súbory a hodí sa pre klienta, ktorý chce adresár. Inštalátor predpokladá, že konkrétna aplikácia je na danej platforme prijateľná, čo je politické rozhodnutie rovnako ako technické. Skôr než čokoľvek stiahnete, opýtajte sa, ktorého klienta prijímajúci tím podporuje.

Niektoré exporty obsahujú certifikáty a súkromné kľúče a heslo chrániace tento kľúčový materiál sa môže líšiť od hesla používateľského účtu. Odovzdajte materiál schváleným kanálom registrácie, namiesto vkladania celého exportu do tiketu ako ukážky konfigurácie.

Site-to-site potrebuje roly a trasy, nie balík

Tunel pobočky je zasa iný návrh. Určte, ktorý koncový bod má rolu servera a ktorý rolu klienta, a potom pred konfiguráciou definujte smerované siete na oboch stranách.

Client Export nemá názor na trasy pobočky, povolenie preposielania ani spätnú cestu, pretože príprava materiálu klienta vzdialeného prístupu je celá jeho práca.

Najprv si zapíšte roly a zoznam trás a otázka balíka sa vyrieši sama. Ak to pokazíte, žiadny exportný formát návrh nezachráni. To isté platí pre spätnú cestu: pobočka, ktorá dosiahne centrum, ale nemôže dostať odpoveď, nie je funkčný tunel.