OpenVPN సర్వర్ కాన్ఫిగరేషన్‌ను శాఖకు కాపీ చేయడం ఎందుకు విఫలమవుతుంది
శాఖ క్లయింట్‌కు సొంత గుర్తింపు, క్లయింట్ పాత్ర ప్రొఫైల్, కేంద్రం ఆ సహచరుడితో కలిపే మార్గం అవసరం. సర్వర్ ఫైల్‌ను కాపీ చేయడం తప్పు పాత్రను కాపీ చేస్తుంది.
పని చేస్తున్న సర్వర్ కాన్ఫిగరేషన్‌ను కాపీ చేసి, కొన్ని చిరునామాలను మార్చి, దానిని శాఖ ప్రొఫైల్ అని పిలవడం సాధారణంగా ఒక కనెక్షన్‌ను ఇస్తుంది. అదే అత్యంత దుష్ప్రభావం, ఎందుకంటే తర్వాత శాఖ తప్పు పాత్రలో నడుస్తుంది, కేంద్రం నుండి బయటకు వెళ్లకూడని పదార్థాన్ని బహిర్గతం చేస్తుంది, ఎవరూ సృష్టించినట్లు గుర్తులేని మార్గ అనుబంధాన్ని మిగులుస్తుంది. కనెక్షన్ మూడు సమస్యలను ఒకేసారి దాస్తుంది, ఎవరైనా వాటిని తనిఖీ చేయకముందే సొరంగం లేస్తుంది.
శాఖను సొంత గుర్తింపు మరియు నెట్‌వర్క్ పాత్ర కలిగిన సహచరుడిగా చూడటమే ప్రొఫైల్‌ను సరైనదిగా చేస్తుంది. పరిష్కారం మెరుగైన కాపీ కాదు, ఈ పేజీలో మిగిలిన భాగం క్లయింట్ నిజంగా ఏమి ఉంచుకోవాలో వివరిస్తుంది.
ఒకే ఫైల్‌లా కనిపించే రెండు పాత్రలు
TLS మోడ్‌లో రెండు వైపుల పనులు పరస్పరం పూరకాలు. ఒక వైపు వింటుంది, సర్వర్ సర్టిఫికెట్ మరియు కీని ఉంచుకుంటుంది, ఏ క్లయింట్లు కనెక్ట్ కాగలవో నిర్ణయిస్తుంది. మరో వైపు ప్రారంభిస్తుంది, వినేవారిని ధృవీకరిస్తుంది, తన గుర్తింపును ప్రదర్శిస్తుంది.
సర్వర్ ఫైల్‌లో క్లయింట్‌పై అర్థం లేని సూచనలు ఉంటాయి: వినడానికి బైండ్ చిరునామా మరియు పోర్ట్, పంపిణీ చేయడానికి చిరునామాల సమూహం, తరచుగా క్లయింట్లు పొందవలసిన సెట్టింగ్‌ల కోసం తోపుడు జాబితా. వాటిని శాఖకు కాపీ చేస్తే ఒకేసారి వినేవారు మరియు క్లయింట్ కావడానికి ప్రయత్నించే పరికరం ఏర్పడుతుంది.
అత్యంత ముఖ్యమైన భాగం ప్రైవేట్ కీ. క్లయింట్ ఎప్పుడూ సర్వర్ ప్రైవేట్ కీని మోయకూడదు, దానికి CA సంతకం కీ కూడా అవసరం లేదు. CA సర్టిఫికెట్ ప్రజా విశ్వాస పదార్థం; సంతకం కీ సర్టిఫికెట్లు జారీ అయ్యే చోటికి చెందుతుంది.
శాఖ ప్రొఫైల్‌లో ఏమి ఉండాలి
శాఖ ప్రొఫైల్‌కు దూరపు చివరి బిందువు మరియు రవాణా, విశ్వసనీయ సర్వర్ గుర్తింపు, శాఖ యొక్క సొంత సర్టిఫికెట్ మరియు కీ, మరియు శాఖకు నిజంగా అవసరమైన మార్గాలు మరియు DNS సెట్టింగ్‌లు అవసరం. మరేదీ తప్పనిసరి కాదు.
ప్రతి సైట్‌కు శాఖ గుర్తింపును విడివిడిగా ఉంచండి. రెండు శాఖలు ఒక సర్టిఫికెట్ పంచుకుంటే ఒకదాన్ని రద్దు చేయడం మరొకదాన్ని నిలిపివేస్తుంది, కేంద్రం లాగ్‌లు వాటిని వేరు చేయలేవు. సైట్‌వారీ గుర్తింపే ఆడిట్ జాడను మరియు రద్దు కథను రెండింటినీ నడిపిస్తుంది.
పరికరాల పని ప్రవాహాలలో జాగ్రత్తగా ఉండండి. pfSense యొక్క Client Export ప్యాకేజీ అర్హత కలిగిన Remote Access సందర్భాలకు ప్రొఫైల్‌లను సృష్టిస్తుంది, దాని సర్వర్ జాబితాలో Remote Access మోడ్‌లో కాన్ఫిగర్ చేసిన సర్వర్‌లు మాత్రమే ఉంటాయి. మరో మోడ్ యొక్క సైట్-నుండి-సైట్ సర్వర్ కనిపించదు, ఆ లేమి సమాచారం, సర్వర్ రహస్యాలను కాపీ చేయడానికి ఆహ్వానం కాదు.
పరికరం మీకు అవసరమైన ప్రొఫైల్‌ను ఎగుమతి చేయకపోతే, దాని పత్రీకరించిన సైట్-నుండి-సైట్ క్లయింట్ పని ప్రవాహాన్ని ఉపయోగించండి లేదా ఇన్‌స్టాల్ చేసిన విడుదల యొక్క మద్దతు ఉదాహరణ నుండి ప్రొఫైల్‌ను నిర్మించండి. సర్వర్ బ్యాకప్‌ను శాఖకు ఎగుమతి చేయడం ప్రణాళిక సర్వర్ పునరుద్ధరణ అయితే మాత్రమే, అది కాదు. బ్యాకప్ కేంద్రం యొక్క ప్రైవేట్ పదార్థాన్ని కూడా మోస్తుంది, కాబట్టి ఒకదాన్ని శాఖకు తరలించడం కీ నిర్వహణ నిర్ణయం, ఫైల్ బదిలీ కాదు. దాన్ని కేంద్రంలో ఉంచి, సర్టిఫికెట్లు జారీ అయ్యే చోట క్లయింట్ గుర్తింపును సృష్టించండి.
సహచరుడు-నెట్‌వర్క్ అనుబంధం వేరు
విజయవంతంగా కనెక్ట్ అయ్యే శాఖ క్లయింట్ ఇప్పటికీ తన LAN కోసం ట్రాఫిక్‌ను పంపలేదు, కేంద్రం ఈ సహచరుడు ఆ ప్రిఫిక్స్‌ను కలిగి ఉన్నాడు అని తెలిసే వరకు. ఆ అనుబంధం కేంద్రంలో నివసిస్తుంది, క్లయింట్ గుర్తింపుకు కట్టబడి, శాఖ యొక్క సొంత దూరపు నెట్‌వర్క్‌ల వైపు మార్గం నుండి వేరు. అది లేకుండా శాఖ హోస్ట్‌లు సొరంగ గణాంకాలలో చేరగలిగినట్లు కనిపిస్తాయి, ఆచరణలో చేరలేము. అనుబంధం వర్తించిందో లేదో కేంద్రం లాగ్‌లో నిర్ధారిస్తారు.
కేంద్రం ఆపరేటింగ్ సిస్టమ్‌లో మార్గాన్ని జోడించడం OpenVPN-కు ఏ క్లయింట్ ప్రిఫిక్స్‌ను కలిగి ఉన్నాడో చెప్పడంతో సమానం కాదు. ప్రతి క్లయింట్‌కు అనుబంధం లేకుండా ప్యాకెట్ సొరంగ ఇంటర్‌ఫేస్‌ను చేరి పడవేయబడుతుంది, ఎందుకంటే ఏ సహచరుడూ గమ్యాన్ని క్లెయిమ్ చేయడు.
శాఖ వైపు, సంబంధిత అవసరం చేరాల్సిన నెట్‌వర్క్‌ల వైపు మార్గం, దానితో పాటు ట్రాఫిక్‌ను శాఖకు తిరిగి పంపడం తెలిసిన LAN రౌటర్. సర్వర్ వైపు యాజమాన్యం మరియు క్లయింట్ వైపు గమ్య మార్గాలు వేర్వేరు వస్తువులు, పని చేసే సొరంగం మొదటి దూకుడును మాత్రమే నిరూపిస్తుంది. రెండింటినీ శాఖ హ్యాండోవర్ నోట్‌లలో రాయండి, ఎందుకంటే తదుపరి ఇంజనీర్ వాటిలో ఒకటి మాత్రమే కనుగొంటారు.
శాఖ మీరు అనుకున్న సహచరుడే అని నిరూపించడం
ట్రాఫిక్‌ను తనిఖీ చేయడానికి ముందు గుర్తింపును తనిఖీ చేయండి. కేంద్రం లాగ్‌లో శాఖ సర్టిఫికెట్ యొక్క సాధారణ పేరు కనిపించాలి, క్లయింట్ పొందిన చిరునామా మీరు ఉద్దేశించిన సమూహం లేదా స్థిర కేటాయింపుకు సరిపోలాలి. లాగ్‌లో వేరే పేరు కనిపిస్తే, ప్రొఫైల్ మరొకరి గుర్తింపును మోస్తోంది.
తర్వాత శాఖ హోస్ట్ నుండి కేంద్రం వైపు వనరుకు ఒక అభ్యర్థనను పంపి అనుబంధాన్ని తనిఖీ చేయండి, ఆశించిన మూల చిరునామాతో అది విజయవంతమవుతుందని నిర్ధారించండి. శాఖ చేరకూడని గమ్యాన్ని పరీక్షించి అది విఫలమవుతుందని నిర్ధారించండి, ఎందుకంటే యాదృచ్ఛికంగా పని చేసే సడలిన మార్గం సరైన విధానానికి సమానం కాదు.
చివరగా శాఖ గుర్తింపును రద్దు చేయండి, కేంద్రం సొంత సర్టిఫికెట్ మరియు ఇతర సైట్‌లు పని చేస్తుండగా కనెక్షన్ విఫలమవుతుందని నిర్ధారించండి. రద్దు కేంద్రాన్ని విరిచితే, పాత్రలు మరియు గుర్తింపులు ఎక్కడో పంచుకోబడ్డాయి, అదే రూపకల్పనకు తిరిగి తీసుకెళ్లదగిన కనుగొనుట.
పూర్తయిన శాఖ అంటే పత్రీకరించిన గుర్తింపు, క్లయింట్-మాత్రమే ప్రొఫైల్, కేంద్రంలో సహచరుడు-నెట్‌వర్క్ అనుబంధం మరియు పరీక్షించిన తిరిగి వచ్చే మార్గం ఉన్న శాఖ. సర్వర్ ఫైల్‌లోని వచనాన్ని తిరగబెట్టడం వాటిలో ఏదీ ఇవ్వదు.