Hoe om ’n OpenVPN-kliëntprofiel uit uitgereikte lêers saam te stel

Jou operateur oorhandig ’n CA-bondel, ’n kliëntsertifikaat en die sleutel daarvan, en die kliënt kom nie aan die gang voordat dit in een profiel bedraad is nie. Die profiel is konfigurasie: dit wys na daardie lêers, dit bevat hulle nie, en om dit te wysig kan dit nie in ’n sertifikaat omskep nie. Die deurloop begin by ’n reeds goedgekeurde skootrekenaar en eindig met ’n profiel wat jy vanuit ’n bekende gids kan begin. Dit skep nie ’n CA nie, registreer nie ’n nuwe sertifikaat nie en raak nie aan die bediener nie.

Die teiken hier is ’n Linux-OpenVPN 2.6-opdragreëlkliënt, met TUN oor UDP gerouteer, met sertifikaatverifikasie.

Versamel slegs die kliëntkant-lêers

Werk in ’n beskermde gids en versamel die goedgekeurde CA-vertrouensmateriaal, jou uitgereikte kliëntsertifikaat en die privaatsleutel wat daarmee ooreenstem. Vir hierdie voorbeeld is die name ca.crt, laptop-a.crt en laptop-a.key. Die lêername is slegs etikette; hulle sê niks oor wat elke lêer bevat nie.

As jy die sleutel tydens inskrywing geskep het, het dit nooit die masjien verlaat nie; slegs die ondertekende sertifikaat en die openbare ketting hoef van die uitreiker terug te kom. Kontroleer dat die sertifikaat die kliëntrol dra wat die diens verwag. Kontroleer ook dat die sleutel aan daardie sertifikaat behoort en nie aan ’n vroeëre een uit ’n vorige poging nie. ’n Onpaslike paar veroorsaak baie later ’n TLS-fout, een wat soos ’n bedienerprobleem lyk.

Laat die CA se private ondertekeningsleutel, die bediener se privaatsleutel en die DH-parameters uit hierdie pakket.

Bedraad die lêers in ’n klein profiel

Die profiel hieronder is doelbewus kort. Elke reël kies óf die eindpunt, beperk óf die identiteit wat die kliënt sal aanvaar, óf wys na een van die drie lêers.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Die remote-reël kies die netwerkeindpunt. remote-cert-tls server dring daarop aan dat die eweknie ’n sertifikaat met bedienerrol toon. verify-x509-name pen die verwagte naam vas, hier vpn-gateway as die bedienersertifikaat se Common Name met OpenVPN se versteknaamveld. Daardie waarde word nie uit die DNS-gasheernaam afgelei nie, gebruik dus die identiteitskema wat die operateur verskaf het.

Moenie daardie kontroles laat vaar net omdat ’n toets-eindpunt ’n ander sertifikaat toon nie.

Hierdie basisprofiel veronderstel geen afsonderlike rekeninguitdaging en geen beheerkanaalsleutel nie. As die diens auth-user-pass, tls-auth of tls-crypt nodig het, behou die konfigurasie en die materiaal wat jy gekry het, want ’n beheerkanaalgeheim wat jy self skep, sal nie ooreenstem met die een wat die bediener hou nie. Behou ook die diens se syferbeleid eerder as om kompressie- of syferlyne uit ’n ou voorbeeld in te voer.

Maak die werkgids eksplisiet

Relatiewe paaie volg die werkgids van die proses, nie die ligging van die .ovpn-lêer nie.

Dit verras mense wat die profiel na ’n nuwe gids skuif en verwag dat die sleutel dit sal volg. Vir ’n gids wat deur die administrateur gekies is, verander die opdrag hieronder na ’n absolute pad voordat dit die profiel en sy verwysings lees.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

’n Lessenaar-invoertowizard of ’n stelseldiens kan die afhanklikhede vir jou verpak en sy eie reëls toepas. Dit kan ook ’n ander werkgids gebruik as die een waarin jy getoets het. Bevestig hoe jou bekendstellingsmetode die sleutel-, sertifikaat- en CA-paaie oplos. Om slegs die .ovpn-lêer te skuif, skuif nie die afsonderlike privaatsleutel nie.

Hou die sleutel leesbaar slegs vir die bedoelde gebruiker of diensidentiteit.

Verifieer die oorhandiging, nie die lêername nie

Voor die eerste gemagtigde verbinding, kontroleer die eindpunt, die sertifikaatidentiteit, die uitreiker en die geldigheidsvenster. Bevestig dan dat die lêerverwysings oplos vanuit die werkgids wat jy werklik gaan gebruik. Nadat jy verbind het, toets die toepassing en DNS-gedrag wat die routeringsbeleid veronderstel is om te verskaf. Drie leesbare lêers bewys niks oor bedienergemagtiging of oor ’n bruikbare hulpbronpad nie.

As ’n wagwoordfrase-navra verskyn, behoort dit aan die privaatsleutel, nie aan ’n VPN-rekening nie.

Ten slotte, inventariseer die pakket as geloofsbriewemateriaal. Om dieselfde sertifikaat en sleutel aan ’n tweede skootrekenaar te gee, kopieer die identiteit, en om die lêer te hernoem gee jou nie ’n tweede inskrywing nie. Dit is die verskil tussen ’n profiel saamstel en een uitreik.