OpenVPN server konfiguratsiyasini filialga ko'chirish nima uchun muvaffaqiyatsiz bo'ladi

Ishlayotgan server konfiguratsiyasini ko'chirish, bir nechta manzilni almashtirish va uni filial profili deb atash odatda ulanish beradi. Bu eng yomon natija, chunki filial keyin noto'g'ri rol bilan ishlaydi, markazdan chiqmasligi kerak bo'lgan materialni oshkor qiladi va hech kim yaratganini eslamaydigan marshrut bog'lanishini qoldiradi. Ulanish uchta muammoni bir vaqtda yashiradi va tunnel kimdir ularni tekshirishidan oldin ko'tariladi.

Filialga o'z shaxsiyati va tarmoq roli bo'lgan sherik sifatida qarash profilni to'g'ri qiladi. Tuzatish yaxshiroq nusxa emas va bu sahifaning qolgan qismi mijoz aslida nima tutishi kerakligi haqida.

Bitta faylga o'xshaydigan ikkita rol

TLS rejimida ikki tomonning vazifalari bir-birini to'ldiradi. Bir tomon tinglaydi, server sertifikati va kalitini ushlab turadi va qaysi mijozlar ulanishi mumkinligini hal qiladi. Boshqa tomon boshlaydi, tinglovchini tekshiradi va o'z shaxsiyatini taqdim etadi.

Server faylida mijozda ma'nosi bo'lmagan ko'rsatmalar bor: tinglash uchun bog'lash manzili va port, tarqatish uchun manzillar to'plami va ko'pincha mijozlar olishi kerak bo'lgan sozlamalar uchun turtki ro'yxati. Ularni filialga ko'chirish bir vaqtda ham tinglovchi, ham mijoz bo'lishga urinadigan qurilma yaratadi.

Eng muhim qism — maxfiy kalit. Mijoz hech qachon serverning maxfiy kalitini olib yurmasligi kerak va unga CA ning imzo kaliti ham kerak emas. CA sertifikati ommaviy ishonch materialidir; imzo kaliti sertifikatlar beriladigan joyga tegishli.

Filial profilida nima bo'lishi kerak

Filial profiliga uzoq so'nggi nuqta va transport, ishonchli server shaxsiyati, filialning o'z sertifikati va kaliti, shuningdek filialga haqiqatan kerak bo'lgan marshrutlar va DNS sozlamalari kerak. Boshqa hech narsa majburiy emas.

Filial shaxsiyatini har bir sayt uchun alohida saqlang. Ikki filial bitta sertifikatni bo'lishsa, birini bekor qilish ikkinchisini o'chiradi va markaz jurnallari ularni ajrata olmaydi. Sayt bo'yicha shaxsiyat audit izini ham, bekor qilish tarixini ham ishlaydi.

Qurilma ish oqimlarida ehtiyot bo'ling. pfSense ning Client Export paketi mos Remote Access kontekstlari uchun profillar yaratadi va uning serverlar ro'yxati faqat Remote Access rejimida sozlangan serverlarni o'z ichiga oladi. Boshqa rejimdagi sayt-sayt serveri ko'rinmaydi va bu yo'qlik axborot, serverning sirlarini ko'chirishga taklif emas.

Agar qurilma kerakli profilni eksport qilmasa, uning hujjatlashtirilgan sayt-sayt mijoz ish oqimidan foydalaning yoki profilni o'rnatilgan nashrning qo'llab-quvvatlanadigan misolidan quring. Server zaxira nusxasini filialga faqat serverni tiklash rejasi bo'lsa eksport qiling, ammo bunday emas. Zaxira nusxa markazning maxfiy materialini ham olib yuradi, shuning uchun uni filialga ko'chirish kalitlar bilan ishlash qarori, fayl ko'chirish emas. Uni markazda saqlang va mijoz shaxsiyatini sertifikatlar beriladigan joyda yarating.

Sherik va tarmoq bog'lanishi alohida

Muvaffaqiyatli ulanadigan filial mijozi hali ham o'z LAN i uchun trafikni o'tkaza olmaydi, markaz bu sherik o'sha prefiksga egaligini bilmaguncha. Bu bog'lanish markazda yashaydi, mijoz shaxsiyatiga bog'langan va filialning uzoq tarmoqlar tomon o'z marshrutidan alohida. Usiz filial xostlari tunnel statistikasida yetib boriladigan ko'rinadi, amalda esa yetib bo'lmaydi. Markaz jurnali bog'lanish qo'llanilganini tasdiqlaydigan joy.

Markazning operatsion tizimida marshrut qo'shish OpenVPN ga qaysi mijoz prefiksga ega ekanini aytish bilan bir xil emas. Har bir mijoz uchun bog'lanishsiz paket tunnel interfeysiga yetadi va hech bir sherik manzilni talab qilmagani uchun tashlanadi.

Filial tomonida tegishli ehtiyoj — yetib borilishi kerak bo'lgan tarmoqlar tomon marshrut va trafikni filialga qaytarishni biladigan LAN marshrutizator. Server tomonidagi egalik va mijoz tomonidagi manzil marshrutlari alohida obyektlar, ishlaydigan tunnel esa faqat birinchi sakrashni isbotlaydi. Ikkalasini ham filialning topshirish qaydlariga yozing, chunki keyingi muhandis ulardan faqat bittasini topadi.

Filial o'zingiz o'ylagan sherik ekanini isbotlash

Trafikni tekshirishdan oldin shaxsiyatni tekshiring. Markaz jurnalida filial sertifikatining umumiy nomi ko'rinishi kerak va mijoz olgan manzil siz ko'zlagan to'plam yoki qat'iy taqsimotga mos kelishi kerak. Agar jurnal boshqa nom ko'rsatsa, profil boshqa birovning shaxsiyatini olib yurmoqda.

Keyin filial xostidan markaz tomonidagi resursga bitta so'rov yuborib bog'lanishni tekshiring va u kutilgan manba manzili bilan muvaffaqiyatli bo'lishini tasdiqlang. Filial yetib bormasligi kerak bo'lgan manzilni sinab ko'ring va u muvaffaqiyatsiz bo'lishini tasdiqlang, chunki tasodifan ishlaydigan keng marshrut to'g'ri siyosat bilan bir xil emas.

Nihoyat filial shaxsiyatini bekor qiling va markazning o'z sertifikati hamda boshqa saytlar ishlashda davom etganda ulanish muvaffaqiyatsiz bo'lishini tasdiqlang. Agar bekor qilish markazni buzsa, rollar va shaxsiyatlar bir joyda bo'lishilgan va bu dizaynga qaytarishga arziydigan topilma.

Tugallangan filial — hujjatlashtirilgan shaxsiyat, faqat mijoz uchun profil, markazda sherik-tarmoq bog'lanishi va sinovdan o'tgan qaytish yo'li bo'lgan filial. Server faylidagi matnni teskari aylantirish sizga ulardan hech birini bermaydi.