Vì sao sao chép cấu hình máy chủ OpenVPN sang chi nhánh lại thất bại

Sao chép cấu hình máy chủ đang chạy, đổi vài địa chỉ rồi gọi đó là hồ sơ chi nhánh thường tạo ra một kết nối. Đó là kết quả tệ nhất, vì chi nhánh sau đó chạy với vai trò sai, phơi bày tài liệu lẽ ra không được rời khỏi trung tâm, và để lại một liên kết tuyến mà không ai nhớ mình đã tạo. Kết nối ấy che giấu ba vấn đề cùng lúc, và đường hầm dựng lên trước khi có người kiểm tra chúng.

Coi chi nhánh là một đối tác có danh tính và vai trò mạng riêng chính là điều làm hồ sơ đúng. Cách khắc phục không phải một bản sao tốt hơn, và phần còn lại của trang này nói về những gì một máy khách thực sự nên giữ.

Hai vai trò trông như một tệp

Ở chế độ TLS, hai bên có nhiệm vụ bổ sung cho nhau. Một bên lắng nghe, giữ chứng chỉ và khóa của máy chủ và quyết định máy khách nào được kết nối. Bên kia khởi tạo, xác minh bên lắng nghe và trình bày danh tính của chính nó.

Tệp máy chủ chứa những chỉ thị không có nghĩa trên máy khách: địa chỉ liên kết và cổng để lắng nghe, một nhóm địa chỉ để cấp phát và thường là một danh sách đẩy cho các thiết lập mà máy khách nên nhận. Sao chép chúng sang chi nhánh tạo ra một thiết bị cố vừa là bên lắng nghe vừa là máy khách cùng lúc.

Khóa riêng là phần quan trọng nhất. Máy khách không bao giờ được mang khóa riêng của máy chủ, và cũng không cần khóa ký của CA. Chứng chỉ CA là tài liệu tin cậy công khai; khóa ký thuộc về nơi chứng chỉ được phát hành.

Hồ sơ chi nhánh phải chứa gì

Hồ sơ chi nhánh cần điểm cuối từ xa và phương thức truyền, danh tính máy chủ đáng tin, chứng chỉ và khóa riêng của chi nhánh, cùng các tuyến và thiết lập DNS mà chi nhánh thực sự cần. Không gì khác là bắt buộc.

Giữ danh tính của chi nhánh riêng theo từng điểm. Hai chi nhánh dùng chung một chứng chỉ nghĩa là thu hồi một cái sẽ vô hiệu hóa cái kia, và nhật ký của trung tâm không phân biệt được chúng. Danh tính theo điểm là thứ làm cho cả dấu vết kiểm toán và câu chuyện thu hồi hoạt động.

Hãy cẩn thận với các luồng công việc của thiết bị. Gói Client Export của pfSense tạo hồ sơ cho các ngữ cảnh Remote Access đủ điều kiện, và danh sách máy chủ của nó chỉ gồm những máy chủ được cấu hình ở chế độ Remote Access. Một máy chủ điểm-nối-điểm ở chế độ khác không xuất hiện, và sự vắng mặt đó là thông tin, không phải lời mời sao chép bí mật của máy chủ.

Nếu thiết bị không xuất hồ sơ bạn cần, hãy dùng luồng công việc máy khách điểm-nối-điểm đã được ghi tài liệu hoặc dựng hồ sơ từ ví dụ được hỗ trợ của bản phát hành đã cài. Chỉ xuất bản sao lưu máy chủ sang chi nhánh khi kế hoạch là khôi phục một máy chủ, mà không phải vậy. Bản sao lưu cũng mang tài liệu riêng của trung tâm, nên chuyển nó sang chi nhánh là quyết định về xử lý khóa, không phải chuyển tệp. Hãy giữ nó ở trung tâm và tạo danh tính máy khách ở nơi chứng chỉ được phát hành.

Liên kết giữa đối tác và mạng là riêng

Một máy khách chi nhánh kết nối thành công vẫn chưa thể chuyển lưu lượng cho LAN của nó cho đến khi trung tâm biết rằng đối tác này sở hữu tiền tố đó. Liên kết đó sống ở trung tâm, gắn với danh tính của máy khách, và tách khỏi tuyến riêng của chi nhánh hướng tới các mạng từ xa. Không có nó, các máy chủ của chi nhánh trông như có thể tới được trong thống kê của đường hầm và trên thực tế thì không. Nhật ký của trung tâm là nơi xác nhận liên kết đã được áp dụng hay chưa.

Thêm một tuyến trong hệ điều hành của trung tâm không giống như nói với OpenVPN máy khách nào sở hữu tiền tố. Không có liên kết cho từng máy khách, gói tin tới giao diện đường hầm và bị bỏ vì không đối tác nào nhận đích.

Về phía chi nhánh, nhu cầu tương ứng là một tuyến hướng tới các mạng cần tới, cùng một bộ định tuyến LAN biết cách trả lưu lượng về chi nhánh. Quyền sở hữu phía máy chủ và các tuyến đích phía máy khách là những đối tượng khác nhau, và một đường hầm hoạt động chỉ chứng minh bước nhảy đầu tiên. Hãy ghi cả hai vào ghi chú bàn giao của chi nhánh, vì kỹ sư tiếp theo sẽ chỉ tìm thấy một trong hai.

Chứng minh rằng chi nhánh là đối tác mà bạn nghĩ

Xác minh danh tính trước khi xác minh lưu lượng. Nhật ký của trung tâm phải hiển thị tên chung của chứng chỉ chi nhánh, và địa chỉ mà máy khách nhận được phải khớp với nhóm hoặc cấp phát cố định mà bạn dự định. Nếu nhật ký hiển thị tên khác, hồ sơ đang mang danh tính của người khác.

Sau đó xác minh liên kết bằng cách gửi một yêu cầu từ một máy chủ trong chi nhánh tới một tài nguyên phía trung tâm và xác nhận nó thành công với địa chỉ nguồn mong đợi. Hãy thử một đích mà chi nhánh không được tới và xác nhận nó thất bại, vì một tuyến dễ dãi tình cờ hoạt động không giống với một chính sách đúng.

Cuối cùng, thu hồi danh tính của chi nhánh và xác nhận kết nối thất bại trong khi chứng chỉ của chính trung tâm và các điểm khác vẫn hoạt động. Nếu việc thu hồi làm hỏng trung tâm, thì vai trò và danh tính đã bị chia sẻ ở đâu đó, và đó là phát hiện đáng mang trở lại thiết kế.

Một chi nhánh hoàn chỉnh là chi nhánh có danh tính được ghi tài liệu, hồ sơ chỉ dành cho máy khách, liên kết đối tác-mạng ở trung tâm và đường trở về đã được kiểm chứng. Đảo ngược văn bản trong một tệp máy chủ không cho bạn điều nào trong số đó.