OpenVPN sunucu yapılandırmasını şubeye kopyalamak neden başarısız olur

Çalışan sunucu yapılandırmasını kopyalamak, birkaç adresi değiştirmek ve buna şube profili demek genellikle bir bağlantı üretir. Bu en kötü sonuçtur, çünkü şube artık yanlış rolle çalışır, merkezden çıkmaması gereken malzemeyi açığa çıkarır ve kimsenin oluşturduğunu hatırlamadığı bir rota ilişkisi bırakır. Bağlantı üç sorunu birden gizler ve tünel, kimse onları denetlemeden önce ayağa kalkar.

Şubeyi kendi kimliği ve ağ rolü olan bir eş olarak ele almak, profili doğru yapan şeydir. Düzeltme daha iyi bir kopya değildir ve bu sayfanın geri kalanı bir istemcinin gerçekte neyi tutması gerektiğiyle ilgilidir.

Tek dosya gibi görünen iki rol

TLS modunda iki tarafın işleri birbirini tamamlar. Bir taraf dinler, sunucunun sertifikasını ve anahtarını tutar ve hangi istemcilerin bağlanabileceğine karar verir. Diğer taraf başlatır, dinleyiciyi doğrular ve kendi kimliğini sunar.

Sunucu dosyasında istemcide anlamı olmayan yönergeler vardır: dinlemek için bağlama adresi ve bağlantı noktası, dağıtılacak adres havuzu ve çoğu zaman istemcilerin alması gereken ayarlar için itme listesi. Bunları bir şubeye kopyalamak, aynı anda hem dinleyici hem istemci olmaya çalışan bir aygıt üretir.

En önemli parça özel anahtardır. Bir istemci asla sunucunun özel anahtarını taşımamalıdır ve CA'nın imzalama anahtarına da ihtiyacı yoktur. CA sertifikası kamusal güven malzemesidir; imzalama anahtarı sertifikaların verildiği yere aittir.

Bir şube profilinde neler olmalı

Bir şube profili uzak uç noktayı ve taşımayı, güvenilen sunucu kimliğini, şubenin kendi sertifikasını ve anahtarını, ayrıca şubenin gerçekten gerektirdiği rotaları ve DNS ayarlarını gerektirir. Başka hiçbir şey zorunlu değildir.

Şube kimliğini her saha için ayrı tutun. Tek bir sertifikayı paylaşan iki şube, birinin iptalinin diğerini devre dışı bırakması demektir ve merkezin günlükleri onları ayırt edemez. Saha başına kimlik, hem denetim izini hem de iptal öyküsünü çalıştıran şeydir.

Cihaz iş akışlarında dikkatli olun. pfSense'in Client Export paketi uygun Remote Access bağlamları için profiller üretir ve sunucu listesi yalnızca Remote Access modunda yapılandırılmış sunucuları içerir. Başka bir moddaki saha-sahaya sunucusu görünmez ve bu yokluk bilgidir, sunucunun sırlarını kopyalama daveti değildir.

Cihaz gereken profili dışa aktarmıyorsa belgelenmiş saha-sahaya istemci iş akışını kullanın veya profili kurulu sürümün desteklenen örneğinden oluşturun. Sunucu yedeğini şubeye yalnızca plan bir sunucuyu geri yüklemekse aktarın, ki öyle değildir. Yedek merkezin özel malzemesini de taşır, bu yüzden birini şubeye taşımak anahtar işleme kararıdır, dosya aktarımı değildir. Yedeği merkezde tutun ve istemci kimliğini sertifikaların verildiği yerde oluşturun.

Eş ile ağ arasındaki ilişki ayrıdır

Başarıyla bağlanan bir şube istemcisi, merkez bu eşin o öneki sahiplendiğini bilene kadar kendi LAN'ı için trafik geçiremez. Bu ilişki merkezde yaşar, istemcinin kimliğine bağlıdır ve şubenin uzak ağlara doğru kendi rotasından ayrıdır. O olmadan şubenin ana makineleri tünel istatistiklerinde erişilebilir görünür ve pratikte erişilemez olur. İlişkinin uygulanıp uygulanmadığının doğrulandığı yer merkezin günlüğüdür.

Merkezin işletim sistemine bir rota eklemek, OpenVPN'e hangi istemcinin öneki sahiplendiğini söylemekle aynı şey değildir. İstemci başına ilişki olmadan paket tünel arayüzüne ulaşır ve hiçbir eş hedefi talep etmediği için düşürülür.

Şube tarafında karşılık gelen gereksinim, ulaşması gereken ağlara doğru bir rota ve trafiği şubeye geri göndermeyi bilen bir LAN yönlendiricisidir. Sunucu tarafındaki sahiplik ile istemci tarafındaki hedef rotaları farklı nesnelerdir ve çalışan bir tünel yalnızca ilk atlamayı kanıtlar. İkisini de şubenin devir notlarına yazın, çünkü bir sonraki mühendis yalnızca birini bulacaktır.

Şubenin düşündüğünüz eş olduğunu kanıtlamak

Trafiği doğrulamadan önce kimliği doğrulayın. Merkezin günlüğü şube sertifikasının ortak adını göstermelidir ve istemcinin aldığı adres amaçladığınız havuzla veya sabit atamayla eşleşmelidir. Günlük başka bir ad gösteriyorsa profil başkasının kimliğini taşıyor demektir.

Ardından şubedeki bir ana makineden merkez tarafındaki bir kaynağa bir istek göndererek ilişkiyi doğrulayın ve beklenen kaynak adresiyle başarılı olduğunu onaylayın. Şubenin ulaşmaması gereken bir hedefi deneyin ve başarısız olduğunu onaylayın, çünkü tesadüfen çalışan izin verici bir rota doğru politikayla aynı şey değildir.

Son olarak şube kimliğini iptal edin ve merkezin kendi sertifikası ile diğer sahalar çalışmaya devam ederken bağlantının başarısız olduğunu onaylayın. İptal merkezi bozuyorsa roller ve kimlikler bir yerde paylaşılmıştır ve bu, tasarıma geri taşınmaya değer bulgudur.

Tamamlanmış bir şube, belgelenmiş kimliği, yalnızca istemciye yönelik profili, merkezde eş-ağ ilişkisi ve sınanmış dönüş yolu olan şubedir. Bir sunucu dosyasındaki metni ters çevirmek bunların hiçbirini vermez.