Zakaj kopiranje konfiguracije strežnika OpenVPN v podružnico ne uspe

Kopiranje delujoče konfiguracije strežnika, zamenjava nekaj naslovov in poimenovanje tega profil podružnice običajno ustvari povezavo. To je najslabši izid, ker podružnica nato deluje z napačno vlogo, razkrije gradivo, ki ne bi smelo zapustiti vozlišča, in pusti povezavo poti, za katero se nihče ne spomni, da jo je ustvaril. Povezava skrije tri težave hkrati, predor pa se dvigne, preden jih kdo preveri.

Obravnavanje podružnice kot partnerja z lastno identiteto in omrežno vlogo je tisto, kar naredi profil pravilen. Popravek ni boljša kopija, preostanek te strani pa govori o tem, kaj naj bi odjemalec v resnici imel.

Dve vlogi, ki izgledata kot ena datoteka

V načinu TLS imata strani dopolnjujoči se nalogi. Ena stran posluša, hrani potrdilo in ključ strežnika ter odloča, kateri odjemalci se smejo povezati. Druga stran začne, preveri poslušalca in predstavi lastno identiteto.

Datoteka strežnika vsebuje direktive, ki na odjemalcu nimajo smisla: vezavni naslov in vrata za poslušanje, nabor naslovov za razdeljevanje in pogosto seznam potiskanja za nastavitve, ki naj bi jih odjemalci prejeli. Kopiranje teh v podružnico ustvari napravo, ki poskuša biti hkrati poslušalec in odjemalec.

Zasebni ključ je del, ki šteje najbolj. Odjemalec nikoli ne sme nositi zasebnega ključa strežnika in ne potrebuje niti podpisnega ključa CA. Potrdilo CA je javno gradivo zaupanja; podpisni ključ pripada tja, kjer se potrdila izdajajo.

Kaj mora vsebovati profil podružnice

Profil podružnice potrebuje oddaljeno končno točko in prenos, zaupanja vredno identiteto strežnika, lastno potrdilo in ključ podružnice ter poti in nastavitve DNS, ki jih podružnica resnično potrebuje. Nič drugega ni obvezno.

Identiteto podružnice hranite ločeno za vsako lokacijo. Dve podružnici, ki si delita eno potrdilo, pomenita, da preklic ene onemogoči drugo, dnevniki vozlišča pa ju ne morejo razlikovati. Identiteta na lokacijo je tisto, kar omogoča delovanje revizijske sledi in zgodbe o preklicu.

Bodite previdni pri delovnih tokovih naprav. Paket Client Export v pfSense ustvari profile za ustrezne kontekste Remote Access, njegov seznam strežnikov pa vključuje le strežnike, nastavljene v načinu Remote Access. Strežnik mesto-na-mesto drugega načina se ne pojavi in ta odsotnost je informacija, ne vabilo k kopiranju skrivnosti strežnika.

Če naprava ne izvozi profila, ki ga potrebujete, uporabite njen dokumentirani delovni tok odjemalca mesto-na-mesto ali profil sestavite iz podprtega primera nameščene izdaje. Izvozite varnostno kopijo strežnika v podružnico le, če je načrt obnoviti strežnik, kar ni. Kopija nosi tudi zasebno gradivo vozlišča, zato je premik v podružnico odločitev o ravnanju s ključi, ne prenos datoteke. Hranite jo v vozlišču in identiteto odjemalca ustvarite tam, kjer se potrdila izdajajo.

Povezava partnerja z omrežjem je ločena

Odjemalec podružnice, ki se uspešno poveže, še vedno ne more prepuščati prometa za svoj LAN, dokler vozlišče ne ve, da ta partner ima to predpono. Ta povezava živi v vozlišču, vezana na identiteto odjemalca, in je ločena od lastne poti podružnice proti oddaljenim omrežjem. Brez nje so gostitelji podružnice v statistiki predora videti dosegljivi, v praksi pa niso. Dnevnik vozlišča je mesto, kjer se potrdi, ali je bila povezava uporabljena.

Dodajanje poti v operacijskem sistemu vozlišča ni isto kot povedati OpenVPN, kateri odjemalec ima predpono. Brez povezave za vsakega odjemalca paket doseže vmesnik predora in se zavrže, ker noben partner ne zahteva cilja.

Na strani podružnice je ustrezna potreba pot do omrežij, ki jih mora doseči, plus usmerjevalnik LAN, ki zna vrniti promet v podružnico. Lastništvo na strani strežnika in ciljne poti na strani odjemalca so različni objekti, delujoč predor pa dokazuje le prvi skok. Zapišite oboje v predajne zapiske podružnice, ker bo naslednji inženir našel le eno od tega.

Dokazati, da je podružnica partner, ki si ga predstavljate

Preverite identiteto, preden preverite promet. Dnevnik vozlišča bi moral prikazati splošno ime potrdila podružnice, naslov, ki ga je odjemalec prejel, pa bi moral ustrezati naboru ali stalni dodelitvi, ki ste jo nameravali. Če dnevnik prikaže drugo ime, profil nosi identiteto nekoga drugega.

Nato preverite povezavo tako, da pošljete eno zahtevo z gostitelja v podružnici na vir na strani vozlišča, in potrdite, da uspe s pričakovanim izvornim naslovom. Preizkusite cilj, ki ga podružnica ne sme doseči, in potrdite, da ne uspe, ker dovoljujoča pot, ki slučajno deluje, ni isto kot pravilna politika.

Na koncu prekličite identiteto podružnice in potrdite, da povezava ne uspe, medtem ko lastno potrdilo vozlišča in druge lokacije še naprej delujejo. Če preklic zlomi vozlišče, so bile vloge in identitete nekje deljene, in to je ugotovitev, ki jo velja vrniti v zasnovo.

Dokončana podružnica je tista z dokumentirano identiteto, profilom samo za odjemalca, povezavo partnerja z omrežjem v vozlišču in preizkušeno potjo nazaj. Obračanje besedila v datoteki strežnika vam ne da nič od tega.