ทำไมการคัดลอกการกำหนดค่าเซิร์ฟเวอร์ OpenVPN ไปยังสาขาจึงล้มเหลว

การคัดลอกการกำหนดค่าเซิร์ฟเวอร์ที่ใช้งานได้ การสลับที่อยู่สักสองสามรายการ แล้วเรียกมันว่าโปรไฟล์สาขา มักจะทำให้เกิดการเชื่อมต่อ นั่นคือผลลัพธ์ที่แย่ที่สุด เพราะสาขาจะทำงานด้วยบทบาทผิด เปิดเผยวัสดุที่ไม่ควรออกจากศูนย์กลาง และทิ้งการเชื่อมโยงเส้นทางที่ไม่มีใครจำได้ว่าเป็นผู้สร้าง การเชื่อมต่อนั้นซ่อนปัญหาสามข้อไว้พร้อมกัน และอุโมงค์ก็ขึ้นก่อนที่ใครจะตรวจสอบ

การปฏิบัติต่อสาขาในฐานะเพื่อนที่มีตัวตนและบทบาทเครือข่ายของตัวเองคือสิ่งที่ทำให้โปรไฟล์ถูกต้อง การแก้ไขไม่ใช่สำเนาที่ดีกว่า และส่วนที่เหลือของหน้านี้พูดถึงสิ่งที่ไคลเอนต์ควรถือไว้จริง ๆ

สองบทบาทที่ดูเหมือนไฟล์เดียว

ในโหมด TLS ทั้งสองฝ่ายมีงานที่เสริมกัน ฝ่ายหนึ่งรอรับ ถือใบรับรองและกุญแจของเซิร์ฟเวอร์ และตัดสินว่าไคลเอนต์ใดเชื่อมต่อได้ อีกฝ่ายเริ่มการเชื่อมต่อ ตรวจสอบผู้รอรับ และแสดงตัวตนของตัวเอง

ไฟล์เซิร์ฟเวอร์มีคำสั่งที่ไม่มีความหมายบนไคลเอนต์ ที่อยู่ผูกและพอร์ตสำหรับรอรับ ชุดที่อยู่สำหรับแจกจ่าย และบ่อยครั้งเป็นรายการผลักสำหรับการตั้งค่าที่ไคลเอนต์ควรได้รับ การคัดลอกสิ่งเหล่านั้นไปยังสาขาจะสร้างอุปกรณ์ที่พยายามเป็นทั้งผู้รอรับและไคลเอนต์ในเวลาเดียวกัน

กุญแจส่วนตัวคือส่วนที่สำคัญที่สุด ไคลเอนต์ต้องไม่ถือกุญแจส่วนตัวของเซิร์ฟเวอร์เลย และไม่จำเป็นต้องมีกุญแจลงนามของ CA ด้วย ใบรับรอง CA เป็นวัสดุความเชื่อถือสาธารณะ ส่วนกุญแจลงนามเป็นของที่ซึ่งมีการออกใบรับรอง

สิ่งที่โปรไฟล์สาขาต้องมี

โปรไฟล์สาขาต้องการปลายทางระยะไกลและการขนส่ง ตัวตนเซิร์ฟเวอร์ที่เชื่อถือได้ ใบรับรองและกุญแจของสาขาเอง และเส้นทางกับการตั้งค่า DNS ที่สาขาต้องการจริง ๆ ไม่มีสิ่งอื่นใดเป็นข้อบังคับ

เก็บตัวตนของสาขาแยกตามแต่ละไซต์ สองสาขาที่ใช้ใบรับรองร่วมกันหมายความว่าการเพิกถอนใบหนึ่งจะปิดอีกใบ และบันทึกของศูนย์กลางก็แยกแยะทั้งสองไม่ได้ ตัวตนตามไซต์คือสิ่งที่ทำให้ทั้งร่องรอยการตรวจสอบและเรื่องราวการเพิกถอนทำงาน

ระวังกระบวนการทำงานของอุปกรณ์ แพ็กเกจ Client Export ของ pfSense สร้างโปรไฟล์สำหรับบริบท Remote Access ที่เข้าเกณฑ์ และรายการเซิร์ฟเวอร์ของมันมีเฉพาะเซิร์ฟเวอร์ที่กำหนดค่าในโหมด Remote Access เท่านั้น เซิร์ฟเวอร์แบบไซต์ถึงไซต์ในโหมดอื่นจะไม่ปรากฏ และการไม่มีอยู่นั้นคือข้อมูล ไม่ใช่คำเชิญให้คัดลอกความลับของเซิร์ฟเวอร์

หากอุปกรณ์ไม่ส่งออกโปรไฟล์ที่คุณต้องการ ให้ใช้กระบวนการทำงานของไคลเอนต์แบบไซต์ถึงไซต์ที่มีเอกสารกำกับ หรือสร้างโปรไฟล์จากตัวอย่างที่รองรับของรุ่นที่ติดตั้งไว้ ส่งออกสำรองของเซิร์ฟเวอร์ไปยังสาขาเฉพาะเมื่อแผนคือการกู้คืนเซิร์ฟเวอร์ ซึ่งไม่ใช่กรณีนี้ สำรองยังพาวัสดุส่วนตัวของศูนย์กลางไปด้วย ดังนั้นการย้ายไปยังสาขาจึงเป็นการตัดสินใจเรื่องการจัดการกุญแจ ไม่ใช่การถ่ายโอนไฟล์ เก็บไว้ที่ศูนย์กลางและสร้างตัวตนของไคลเอนต์ที่ซึ่งมีการออกใบรับรอง

การเชื่อมโยงเพื่อนกับเครือข่ายแยกออกจากกัน

ไคลเอนต์สาขาที่เชื่อมต่อสำเร็จยังคงส่งผ่านทราฟฟิกสำหรับ LAN ของตนไม่ได้จนกว่าศูนย์กลางจะรู้ว่า เพื่อนรายนี้เป็นเจ้าของคำนำหน้านั้น การเชื่อมโยงนั้นอยู่ที่ศูนย์กลาง ผูกกับตัวตนของไคลเอนต์ และแยกจากเส้นทางของสาขาเองที่มุ่งไปยังเครือข่ายระยะไกล หากไม่มีมัน โฮสต์ของสาขาจะดูเข้าถึงได้ในสถิติของอุโมงค์ แต่ในทางปฏิบัติเข้าถึงไม่ได้ บันทึกของศูนย์กลางคือที่ที่ยืนยันว่าการเชื่อมโยงถูกนำไปใช้หรือไม่

การเพิ่มเส้นทางในระบบปฏิบัติการของศูนย์กลางไม่เหมือนกับการบอก OpenVPN ว่าไคลเอนต์ใดเป็นเจ้าของคำนำหน้า หากไม่มีการเชื่อมโยงต่อไคลเอนต์ แพ็กเก็ตจะไปถึงอินเทอร์เฟซของอุโมงค์และถูกทิ้งเพราะไม่มีเพื่อนรายใดอ้างสิทธิ์ปลายทาง

ฝ่ายสาขา ความต้องการที่สอดคล้องกันคือเส้นทางไปยังเครือข่ายที่ควรเข้าถึง พร้อมกับเราเตอร์ LAN ที่รู้วิธีส่งทราฟฟิกกลับมาที่สาขา ความเป็นเจ้าของฝ่ายเซิร์ฟเวอร์และเส้นทางปลายทางฝ่ายไคลเอนต์เป็นวัตถุที่ต่างกัน และอุโมงค์ที่ทำงานได้พิสูจน์เพียงกระโดดแรกเท่านั้น จดทั้งสองอย่างไว้ในบันทึกการส่งมอบของสาขา เพราะวิศวกรคนต่อไปจะพบเพียงอย่างใดอย่างหนึ่ง

การพิสูจน์ว่าสาขาคือเพื่อนที่คุณคิด

ตรวจสอบตัวตนก่อนตรวจสอบทราฟฟิก บันทึกของศูนย์กลางควรแสดงชื่อทั่วไปของใบรับรองสาขา และที่อยู่ที่ไคลเอนต์ได้รับควรตรงกับพูลหรือการกำหนดแบบตายตัวที่คุณตั้งใจ หากบันทึกแสดงชื่ออื่น โปรไฟล์นั้นกำลังถือตัวตนของคนอื่น

จากนั้นตรวจสอบการเชื่อมโยงด้วยการส่งคำขอหนึ่งรายการจากโฮสต์ในสาขาไปยังทรัพยากรฝั่งศูนย์กลาง และยืนยันว่าสำเร็จด้วยที่อยู่ต้นทางที่คาดไว้ ทดสอบปลายทางที่สาขาไม่ควรเข้าถึงและยืนยันว่าล้มเหลว เพราะเส้นทางที่ผ่อนปรนซึ่งบังเอิญทำงานได้ไม่เหมือนกับนโยบายที่ถูกต้อง

สุดท้าย เพิกถอนตัวตนของสาขาและยืนยันว่าการเชื่อมต่อล้มเหลวในขณะที่ใบรับรองของศูนย์กลางเองและไซต์อื่นยังทำงานอยู่ หากการเพิกถอนทำให้ศูนย์กลางเสียหาย แสดงว่าบทบาทและตัวตนถูกใช้ร่วมกันที่ใดที่หนึ่ง และนั่นคือสิ่งที่คุ้มค่าจะนำกลับไปสู่การออกแบบ

สาขาที่เสร็จสมบูรณ์คือสาขาที่มีตัวตนเป็นเอกสาร โปรไฟล์สำหรับไคลเอนต์เท่านั้น การเชื่อมโยงเพื่อนกับเครือข่ายที่ศูนย์กลาง และเส้นทางกลับที่ผ่านการทดสอบ การกลับข้อความในไฟล์เซิร์ฟเวอร์ไม่ให้สิ่งใดในนั้นแก่คุณ