Prečo kopírovanie konfigurácie servera OpenVPN do pobočky zlyháva

Skopírovať funkčnú konfiguráciu servera, vymeniť pár adries a nazvať to profilom pobočky zvyčajne vytvorí spojenie. To je najhorší výsledok, pretože pobočka potom beží s nesprávnou rolou, vystavuje materiál, ktorý by nemal opustiť centrum, a zanecháva asociáciu trasy, o ktorej si nikto nepamätá, že ju vytvoril. Spojenie skrýva tri problémy naraz a tunel naskočí skôr, než ich niekto skontroluje.

Považovať pobočku za protistranu s vlastnou identitou a sieťovou rolou je to, čo robí profil správnym. Oprava nie je lepšia kópia a zvyšok tejto stránky je o tom, čo má klient skutočne držať.

Dve roly, ktoré vyzerajú ako jeden súbor

V režime TLS majú obe strany doplňujúce sa úlohy. Jedna strana počúva, drží certifikát a kľúč servera a rozhoduje, ktorí klienti sa smú pripojiť. Druhá strana iniciuje, overuje počúvajúceho a predkladá vlastnú identitu.

Súbor servera obsahuje direktívy, ktoré na klientovi nemajú zmysel: väzbovú adresu a port na počúvanie, fond adries na rozdeľovanie a často zoznam push pre nastavenia, ktoré majú klienti dostať. Ich skopírovanie do pobočky vytvorí zariadenie, ktoré sa snaží byť zároveň počúvajúcim aj klientom.

Súkromný kľúč je časť, na ktorej záleží najviac. Klient nikdy nesmie niesť súkromný kľúč servera a nepotrebuje ani podpisový kľúč CA. Certifikát CA je verejný materiál dôvery; podpisový kľúč patrí tam, kde sa certifikáty vydávajú.

Čo musí profil pobočky obsahovať

Profil pobočky potrebuje vzdialený koncový bod a prenos, dôveryhodnú identitu servera, vlastný certifikát a kľúč pobočky a trasy a nastavenia DNS, ktoré pobočka skutočne vyžaduje. Nič iné nie je povinné.

Držte identitu pobočky oddelene pre každé miesto. Dve pobočky zdieľajúce jeden certifikát znamenajú, že odvolanie jedného vypne druhú, a záznamy centra ich nedokážu rozlíšiť. Identita pre každé miesto je to, čo umožňuje fungovanie audítorskej stopy aj príbehu odvolania.

Buďte opatrní pri postupoch na zariadeniach. Balík Client Export v pfSense vytvára profily pre vhodné kontexty Remote Access a jeho zoznam serverov obsahuje len servery nastavené v režime Remote Access. Server typu miesto-miesto iného režimu sa neobjaví, a táto neprítomnosť je informácia, nie pozvanie kopírovať tajomstvá servera.

Ak zariadenie neexportuje profil, ktorý potrebujete, použite jeho zdokumentovaný postup klienta miesto-miesto alebo profil zostavte z podporovaného príkladu nainštalovaného vydania. Exportujte zálohu servera do pobočky len vtedy, ak je plánom obnoviť server, čo nie je. Záloha nesie aj súkromný materiál centra, takže presun do pobočky je rozhodnutie o zaobchádzaní s kľúčmi, nie prenos súboru. Držte ju v centre a identitu klienta vytvorte tam, kde sa certifikáty vydávajú.

Asociácia protistrany so sieťou je oddelená

Klient pobočky, ktorý sa úspešne pripojí, stále nemôže prepúšťať prevádzku pre svoju LAN, kým centrum nevie, že tejto protistrane patrí tento prefix. Táto asociácia žije v centre, viazaná na identitu klienta, a je oddelená od vlastnej trasy pobočky k vzdialeným sieťam. Bez nej sa hostitelia pobočky v štatistikách tunela javia ako dostupní a v praxi dostupní nie sú. Záznam centra je miesto, kde sa potvrdzuje, či sa asociácia uplatnila.

Pridať trasu v operačnom systéme centra nie je to isté ako povedať OpenVPN, ktorý klient prefix vlastní. Bez asociácie pre každého klienta paket dorazí na rozhranie tunela a je zahodený, pretože žiadna protistrana si cieľ nenárokuje.

Na strane pobočky je zodpovedajúcou potrebou trasa k sieťam, ktoré má dosiahnuť, plus LAN smerovač, ktorý vie vrátiť prevádzku do pobočky. Vlastníctvo na strane servera a cieľové trasy na strane klienta sú odlišné objekty a fungujúci tunel dokazuje len prvý skok. Zapíšte oboje do odovzdávacích poznámok pobočky, pretože nasledujúci inžinier nájde len jedno z toho.

Dokázať, že pobočka je protistrana, o ktorej si myslíte

Overte identitu skôr než prevádzku. Záznam centra má ukazovať bežný názov certifikátu pobočky a adresa, ktorú klient dostal, má zodpovedať fondu alebo pevnému priradeniu, ktoré ste zamýšľali. Ak záznam ukazuje iné meno, profil nesie identitu niekoho iného.

Potom overte asociáciu odoslaním jednej požiadavky z hostiteľa v pobočke na zdroj na strane centra a potvrďte, že uspeje s očakávanou zdrojovou adresou. Otestujte cieľ, kam pobočka nesmie dosiahnuť, a potvrďte, že zlyhá, pretože povoľujúca trasa, ktorá náhodou funguje, nie je to isté ako správna politika.

Nakoniec odvolajte identitu pobočky a potvrďte, že spojenie zlyhá, zatiaľ čo vlastný certifikát centra a ostatné miesta ďalej fungujú. Ak odvolanie pokazí centrum, roly a identity sa niekde zdieľali, a to je zistenie, ktoré stojí za vrátenie do návrhu.

Hotová pobočka je tá so zdokumentovanou identitou, profilom len pre klienta, asociáciou protistrany so sieťou v centre a otestovanou spiatočnou cestou. Obrátenie textu v súbore servera vám nedá nič z toho.