Client Export наспрам излазне OpenVPN инстанце на pfSense-у

Инсталирате пакет Client Export, отворите га, а бирач сервера је празан. Природан закључак је да је пакет покварен или да pfSense уопште не може бити VPN клијент, а обоје је погрешно. Бирач је празан јер на pfSense-у није конфигурисан сервер за даљински приступ, а пакет никада није био алат који тера заштитни зид да зове према споља. Два различита посла деле једну реч, а празан списак је звук једног од њих од којег се тражи нешто што не ради.

Одлучите ко почиње пре инсталације било чега

Поставите једно питање: који уређај започиње везу? Ако се запослени на путу повезује са канцеларијским заштитним зидом, pfSense је сервер, а преносни рачунар запосленог је клијент. Пакет који вам у том случају треба припрема материјал за преносни рачунар, јер он је страна која зове.

Ако се pfSense повезује на нечију туђу VPN услугу, заштитни зид је клијент, а удаљени оператер поседује крајњу тачку на коју се повезујете.

Обе ситуације користе реч клијент и ту почиње забуна. Реч описује улогу у једној вези, а не категорију производа.

Извозник је помоћник на страни сервера

Client Export узима сервер за даљински приступ који већ постоји на pfSense-у и производи материјал потребан уређају који се повезује. Чита поставке, сертификате и опције тунела тог сервера, па их пакује за употребу другде.

Зато бирач наводи само сервере у режиму Remote Access. Без таквог сервера нема шта да се извезе, а празан списак је тачан извештај, а не квар. Прво направите сервер за даљински приступ и бирач ће се сам попунити. Тај редослед збуњује људе чешће од било које поставке унутар пакета.

Референца пакета јасно наводи ту зависност. Прочитајте је пре него што претпоставите да пакет може да направи сервер уместо вас.

Излазна инстанца је засебна конфигурација

Учинити pfSense клијентом неке друге услуге значи направити OpenVPN клијентску инстанцу са крајњом тачком, портом, протоколом, акредитивима и материјалом поверења тог пружаоца. Netgate то документује одвојено од пакета за извоз јер је то други објекат у конфигурацији.

Инсталација извозника не попуњава ниједно од тих поља и ниједан формат извоза их неће генерисати уместо вас. Ако ваш пружалац даје профил, увозите или преписујете његове вредности у инстанцу коју правите.

Држите две конфигурације у одвојеним мисаоним кутијама. Једна одговара другим уређајима; друга тражи тунел од другог сервера.

Изаберите формат извоза који уређај може да користи

Извоз долази као уграђене конфигурације, запаковане архиве и инсталатери за одређене клијентске апликације. Изаберите према ономе што пријемни уређај стварно може да увезе, а не према томе које преузимање изгледа најпотпуније.

Уграђена датотека је прикладна за клијента који прихвата залепљену конфигурацију. Архива носи засебне датотеке и одговара клијенту који жели фасциклу. Инсталатер претпоставља да је одређена апликација прихватљива на тој платформи, што је политичка одлука колико и техничка. Питајте који клијент пријемни тим подржава пре него што било шта преузмете.

Неки извози садрже сертификате и приватне кључеве, а лозинка која штити тај кључни материјал може се разликовати од лозинке корисничког налога. Доставите материјал одобреним каналом за упис уместо да цео извоз залепите у тикет као пример конфигурације.

Site-to-site тражи улоге и руте, не пакет

Тунел до огранка је опет другачији дизајн. Утврдите која крајња тачка има улогу сервера, а која улогу клијента, затим дефинишите рутиране мреже са обе стране пре него што било шта конфигуришете.

Client Export нема мишљење о рутама огранка, дозволи за прослеђивање или повратном путу, јер припрема материјала за клијента даљинског приступа је цео његов посао.

Прво запишите улоге и списак рута и питање пакета се само решава. Ако погрешите, ниједан формат извоза не спасава дизајн. Исто важи за повратни пут: огранак који може да дође до центра, а не може да добије одговор, није исправан тунел.