Client Export proti odhodni instanci OpenVPN na pfSense

Namestite paket Client Export, ga odprete in izbirnik strežnika je prazen. Naravni sklep je, da je paket pokvarjen ali da pfSense sploh ne more delovati kot odjemalec VPN, in oboje je napačno. Izbirnik je prazen, ker v pfSense ni nastavljenega strežnika za oddaljeni dostop, paket pa nikoli ni bil orodje, ki bi požarnemu zidu ukazalo klicati navzven. Dve različni nalogi si delita eno besedo, prazen seznam pa je zvok tega, da eni od njiju zahtevamo nekaj, česar ne počne.

Odločite se, kdo začne, preden kar koli namestite

Vprašajte eno vprašanje: katera naprava začne povezavo? Če se potujoči zaposleni poveže z pisarniškim požarnim zidom, je pfSense strežnik, prenosnik zaposlenega pa odjemalec. Paket, ki ga v tem primeru potrebujete, pripravi gradivo za prenosnik, ker prenosnik je stran, ki kliče.

Če se pfSense poveže s storitvijo VPN nekoga drugega, je požarni zid odjemalec, oddaljeni operater pa ima končno točko, ki jo kličete.

Oba položaja uporabljata besedo odjemalec, in tu se začne zmeda. Beseda opisuje vlogo v eni povezavi, ne kategorije izdelka.

Izvoznik je pomočnik na strani strežnika

Client Export vzame strežnik za oddaljeni dostop, ki že obstaja na pfSense, in ustvari gradivo, ki ga potrebuje naprava, ki se povezuje. Prebere nastavitve, potrdila in možnosti tunela tega strežnika, nato jih zapakira za uporabo drugje.

Zato izbirnik navaja samo strežnike v načinu Remote Access. Brez takega strežnika ni česa izvoziti, prazen seznam pa je natančno poročilo in ne napaka. Najprej ustvarite strežnik za oddaljeni dostop in izbirnik se bo sam napolnil. Ta vrstni red ljudi zmede pogosteje kot katera koli nastavitev v paketu.

Referenca paketa to odvisnost jasno navaja. Preberite jo, preden domnevate, da lahko paket ustvari strežnik namesto vas.

Odhodna instanca je ločena konfiguracija

Narediti pfSense odjemalca druge storitve pomeni ustvariti OpenVPN odjemalsko instanco s končno točko, vrati, protokolom, poverilnicami in gradivom zaupanja tega ponudnika. Netgate to dokumentira ločeno od izvoznega paketa, ker je to drug objekt v konfiguraciji.

Namestitev izvoznika ne izpolni nobenega od teh polj in nobena izvozna oblika jih ne bo ustvarila namesto vas. Če vaš ponudnik priskrbi profil, uvozite ali prepišete njegove vrednosti v instanco, ki jo ustvarite.

Hranite obe konfiguraciji v ločenih miselnih škatlah. Ena odgovarja drugim napravam; druga prosi drug strežnik za tunel.

Izberite izvozno obliko, ki jo naprava lahko uporabi

Izvoz je na voljo kot vdelane konfiguracije, zapakirani arhivi in namestitveni programi za določene odjemalske aplikacije. Izberite po tem, kar lahko prejemna naprava resnično uvozi, ne po tem, katera prenesena datoteka je videti najbolj popolna.

Vdelana datoteka je priročna za odjemalca, ki sprejme prilepljeno konfiguracijo. Paket nosi ločene datoteke in ustreza odjemalcu, ki želi mapo. Namestitveni program predpostavlja, da je določena aplikacija na tej platformi sprejemljiva, kar je politična odločitev prav tako kot tehnična. Preden kar koli prenesete, vprašajte, katerega odjemalca podpira prejemna ekipa.

Nekateri izvozi vsebujejo potrdila in zasebne ključe, geslo, ki varuje to ključno gradivo, pa se lahko razlikuje od gesla uporabniškega računa. Gradivo predajte po odobrenem kanalu za registracijo, namesto da bi celoten izvoz prilepili v zahtevek kot primer konfiguracije.

Site-to-site potrebuje vloge in poti, ne paketa

Tunel do podružnice je spet drugačna zasnova. Ugotovite, katera končna točka ima vlogo strežnika in katera vlogo odjemalca, nato pred konfiguriranjem določite usmerjena omrežja na obeh straneh.

Client Export nima mnenja o poteh podružnice, dovoljenju za posredovanje ali povratni poti, ker je priprava gradiva odjemalca za oddaljeni dostop vsa njegova naloga.

Najprej zapišite vloge in seznam poti, vprašanje paketa pa se bo odgovorilo samo. Če se zmotite, nobena izvozna oblika ne reši zasnove. Enako velja za povratno pot: podružnica, ki doseže center, a ne more dobiti odgovora, ni delujoč tunel.