Зашто копирање конфигурације OpenVPN сервера у огранак не успева

Копирање исправне конфигурације сервера, замена неколико адреса и називање тога профилом огранка обично производи везу. То је најгори исход, јер огранак затим ради са погрешном улогом, излаже материјал који не би смео да напусти чвориште и оставља повезаност руте које се нико не сећа да ју је направио. Веза крије три проблема одједном, а тунел се подиже пре него што их ико провери.

Третирање огранка као партнера са сопственим идентитетом и мрежном улогом је оно што чини профил исправним. Поправка није боља копија, а остатак ове странице говори о томе шта клијент заиста треба да држи.

Две улоге које изгледају као једна датотека

У TLS режиму две стране имају комплементарне задатке. Једна страна слуша, држи сертификат и кључ сервера и одлучује који клијенти смеју да се повежу. Друга страна покреће везу, проверава слушаоца и представља сопствени идентитет.

Датотека сервера садржи директиве које на клијенту немају смисла: адресу везивања и порт за слушање, скуп адреса за доделу и често списак за гурање подешавања која клијенти треба да приме. Копирање тога у огранак ствара уређај који истовремено покушава да буде слушалац и клијент.

Приватни кључ је део који је најважнији. Клијент никада не сме да носи приватни кључ сервера и не треба му ни кључ за потписивање CA-а. Сертификат CA је јавни материјал поверења; кључ за потписивање припада тамо где се сертификати издају.

Шта профил огранка мора да садржи

Профил огранка треба удаљену крајњу тачку и пренос, поуздани идентитет сервера, сопствени сертификат и кључ огранка те руте и DNS поставке које огранак заиста захтева. Ништа друго није обавезно.

Држите идентитет огранка одвојено за свако место. Два огранка која деле један сертификат значе да опозив једног онемогућава други, а записи чворишта не могу да их разликују. Идентитет по месту чини радним и траг ревизије и причу о опозиву.

Будите пажљиви са поступцима на уређајима. pfSense-ов пакет Client Export ствара профиле за прикладне Remote Access контексте и његов списак сервера укључује само сервере подешене у режиму Remote Access. Сервер место-на-место другог режима се не појављује, а то одсуство је информација, не позив да копирате тајне сервера.

Ако уређај не извози профил који вам треба, користите његов документовани поступак клијента место-на-место или саставите профил из подржаног примера инсталираног издања. Извезите резервну копију сервера у огранак само ако је план обнављање сервера, а то није случај. Копија носи и приватни материјал чворишта, па је њено премештање у огранак одлука о руковању кључевима, не пренос датотеке. Држите је на чворишту и створите идентитет клијента тамо где се сертификати издају.

Повезаност партнера са мрежом је одвојена

Клијент огранка који се успешно повеже још не може да пропушта саобраћај за свој LAN док чвориште не зна да овај партнер поседује тај префикс. Та повезаност живи на чворишту, везана за идентитет клијента, и одвојена је од сопствене руте огранка према удаљеним мрежама. Без ње се рачунари огранка у статистици тунела чине доступнима, а у пракси су недоступни. Запис чворишта је место на којем се потврђује да ли је повезаност примењена.

Додавање руте у оперативном систему чворишта није исто што и рећи OpenVPN-у који клијент поседује префикс. Без повезаности по клијенту пакет стиже до интерфејса тунела и бива одбачен јер ниједан партнер не полаже право на одредиште.

На страни огранка одговарајућа потреба је рута према мрежама које треба достићи, уз LAN усмеривач који зна да врати саобраћај у огранак. Власништво на страни сервера и одредишне руте на страни клијента различити су објекти, а тунел који ради доказује само први скок. Запишите обоје у предајне белешке огранка, јер ће следећи инжењер наћи само једно од тога.

Доказивање да је огранак партнер којег мислите

Проверите идентитет пре провере саобраћаја. Запис чворишта треба да покаже уобичајено име сертификата огранка, а адреса коју је клијент примио треба да одговара скупу или фиксној додели коју сте намеравали. Ако запис покаже друго име, профил носи туђи идентитет.

Затим проверите повезаност слањем једног захтева са рачунара у огранку према извору на страни чворишта и потврдите да успева са очекиваном изворном адресом. Испробајте одредиште до којег огранак не сме да дође и потврдите да не успева, јер дозвољавајућа рута која случајно ради није исто што и исправна политика.

Напослетку опозовите идентитет огранка и потврдите да веза не успева док сопствени сертификат чворишта и друга места настављају да раде. Ако опозив сломи чвориште, улоге и идентитети су негде били дељени, и то је налаз који вреди вратити у дизајн.

Довршен огранак је онај са документованим идентитетом, профилом само за клијента, повезаношћу партнера са мрежом на чворишту и испитаним повратним путем. Окретање текста у датотеци сервера не даје вам ништа од тога.