Client Export kontra en utgående OpenVPN-instans på pfSense

Du installerar paketet Client Export, öppnar det och serverväljaren är tom. Den naturliga slutsatsen är att paketet är trasigt eller att pfSense inte alls kan fungera som VPN-klient, och båda är fel. Väljaren är tom eftersom pfSense inte har någon fjärråtkomstserver konfigurerad, och paketet var aldrig verktyget för att få brandväggen att ringa ut. Två olika jobb delar ett ord, och den tomma listan är ljudet av att ett av dem blir ombedd att göra något det inte gör.

Bestäm vem som börjar innan du installerar något

Ställ en fråga: vilken enhet startar anslutningen? Om en anställd på resa ansluter till kontorets brandvägg är pfSense servern och den anställdas bärbara dator är klienten. Paketet du behöver i det fallet förbereder material för den bärbara datorn, eftersom den är sidan som ringer.

Om pfSense ansluter till någon annans VPN-tjänst är brandväggen klienten och den externa operatören äger slutpunkten du ringer.

Båda situationerna använder ordet klient, och det är där förvirringen börjar. Ordet beskriver en roll i en anslutning, inte en produktkategori.

Exportören är en hjälpare på serversidan

Client Export tar en fjärråtkomstserver som redan finns på pfSense och producerar materialet som en anslutande enhet behöver. Den läser serverns inställningar, certifikat och tunnelalternativ och paketerar dem sedan för användning någon annanstans.

Därför listar väljaren bara servrar i läget Remote Access. Utan en sådan server finns inget att exportera, och den tomma listan är en korrekt rapport och inte ett fel. Skapa fjärråtkomstservern först, så fylls väljaren av sig själv. Den ordningen förvirrar folk oftare än någon inställning inne i paketet.

Paketreferensen anger beroendet tydligt. Läs den innan du antar att paketet kan skapa servern åt dig.

Den utgående instansen är en separat konfiguration

Att göra pfSense till klient hos en annan tjänst innebär att skapa en OpenVPN klientinstans med den leverantörens slutpunkt, port, protokoll, autentiseringsuppgifter och förtroendematerial. Netgate dokumenterar detta separat från exportpaketet, eftersom det är ett annat objekt i konfigurationen.

Installation av exportören fyller inte i något av dessa fält, och inget exportformat genererar dem åt dig. Om din leverantör tillhandahåller en profil importerar eller skriver du över dess värden i instansen du skapar.

Håll de två konfigurationerna i separata mentala lådor. Den ena svarar andra enheter; den andra ber en annan server om en tunnel.

Välj det exportformat som enheten kan använda

Exporter finns som inbäddade konfigurationer, samlade arkiv och installationsprogram för specifika klientprogram. Välj efter vad den mottagande enheten faktiskt kan importera, inte efter vilken nedladdning som ser mest komplett ut.

En inbäddad fil är praktisk för en klient som accepterar inklistrad konfiguration. Ett paket bär separata filer och passar en klient som vill ha en mapp. Ett installationsprogram förutsätter att ett visst program är acceptabelt på den plattformen, vilket är ett policybeslut lika mycket som ett tekniskt. Fråga vilken klient det mottagande teamet stöder innan du laddar ner något.

Vissa exporter innehåller certifikat och privata nycklar, och lösenordet som skyddar det nyckelmaterialet kan skilja sig från användarens kontolösenord. Lämna materialet via den godkända registreringskanalen i stället för att klistra in en fullständig export i ett ärende som konfigurationsexempel.

Site-to-site behöver roller och rutter, inte ett paket

En filialtunnel är återigen en annan design. Avgör vilken slutpunkt som har serverrollen och vilken som har klientrollen, och definiera sedan de routade näten på båda sidor innan du konfigurerar något.

Client Export har ingen åsikt om filialens rutter, vidarebefordringstillstånd eller returväg, eftersom förberedelse av klientmaterial för fjärråtkomst är hela dess uppgift.

Skriv ner rollerna och ruttlistan först, så besvarar paketfrågan sig själv. Gör du fel räddar inget exportformat designen. Samma sak gäller returvägen: en filial som når centralen och inte kan få svar är inte en fungerande tunnel.