OpenVPN Access Server: profielaflaai vir die regte rekening

’n Gebruikersgeslote Access Server-profiel word vir een rekening geskep en weier elke ander een, so die aflaai-stap bepaal aan wie die lêer behoort voordat enige kliëntinstelling saak maak. Die volgorde hieronder is die een wat ek gee vir elkeen wat om “die VPN-lêer” vra: meld aan as die persoon wat dit gaan gebruik, vind die beheer vir jou bedienerweergawe, lees waaraan die lêer gesluit is, bevestig dat die beleid daardie tipe toelaat, en oorhandig dit dan op ’n manier wat jy steeds kan herroep. Stop by die eerste stap wat misluk; elke latere stap veronderstel dat die vroeëre een gegeld het.

Kontrole 1: meld aan as die rekening, nie as die administrateur nie

Die kliëntportaal is die gewone gebruikerskoppelvlak, gewoonlik by https://vpn.example:943/, terwyl administrasie by https://vpn.example:943/admin sit. Dit is verstekvoorbeelde; gasheername, poorte en omgekeerde proxie verander dit, so gebruik die adres wat jou operateur vir jou gegee het. Om eerste by die admin-pad aan te meld is die mees algemene verkeerde draai, want die admin-sessie kan rekeninge skep en bestuur, maar is nie die rekening wat die tonnel sal dra nie.

As die persoon nog nie kan aanmeld nie, stop hier en maak dit eers reg: ’n wagwoordherstelling, ’n ontbrekende groeptoewysing of ’n rekening wat net as ’n ingevoerde verifikasie-inskrywing bestaan, sal die aflaai blokkeer maak nie saak watter blaaier jy probeer nie. Om uit die administrateur se eie sessie af te laai, lewer die administrateur se profiel, en dit is juis die lêer wat nie op iemand anders se skootrekenaar moet beland nie.

Kontrole 2: vind die aflaai-beheer vir jou weergawe

Sodra jy aangemeld is, wys die portaal ’n verbindingsprofiel-beheer naby die bokant van die bladsy. Vir Access Server 2.14 en nuwer beskryf die handleiding dit as ’n Afdeling Verbindingsprofiel onder “Laai jou profiel hieronder af”. Waar die portaal ook ’n voorafopgestelde OpenVPN Connect-installeerder bied, is dit twee verskillende oorhandigings: die een installeer die kliënt met die profiel reeds aangeheg, die ander gee jou ’n lêer om in ’n kliënt te voer wat jy al het.

Weergawe maak hier saak. ’n Ouer portaal kan dieselfde knoppie anders benoem, en ’n sterk aangepaste portaal kan dit onder ’n kennisgewing skuif. As die afdeling heeltemal ontbreek, moenie URL’s begin raai nie: gaan na die beleidskontrole eerder as om met paaie te eksperimenteer, want ’n ontbrekende beheer is byna altyd ’n besluit aan die bedienerkant.

Kontrole 3: lees waaraan die lêer gesluit is

’n Gebruikersgeslote profiel dra ’n ingebedde kliëntsertifikaat en -sleutel wat vir een gebruiker uitgereik is, en die bediener koppel daardie identiteit aan daardie rekening. Om die lêer te hernoem, sy vertoonnaam te wysig of ander geloofsbriewe by die prompt in te tik, verander nie die koppeling nie; daarom misluk ’n gekopieerde profiel vir die tweede persoon met ’n verifikasie- of sertifikaatfout eerder as ’n roeteringsprobleem. Kyk binne-in die lêer as jy wil bevestig wat jy het:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Die sertifikaattelling sê vir jou dat ’n identiteit ingebed is; die remote-reëls noem net die bediener. Twee lêers wat na dieselfde bediener wys, kan dus aan verskillende mense behoort, en een lêer wat na twee bedieners wys is steeds aan sy oorspronklike eienaar gebind. Bedienergeslote en outomatiese aanmeld-profiele het weer ander toegelate gebruiksmodaliteite: ’n bedienergeslote profiel verwag geloofsbriewe by verbindingstyd, en ’n outomatiese aanmeld-profiel slaan die wagwoordprompt per ontwerp oor. Nie een van hulle word deur die lêer te wysig ’n ander tipe nie.

Kontrole 4: bevestig dat die beleid daardie tipe toelaat

Watter profieltipes bestaan, is ’n administrateurinstelling, nie ’n kliëntvoorkeur nie. As die portaal net ’n gebruikersgeslote aflaai bied, mag die bediener geen ander tipe toelaat nie, of dit mag een toelaat wat die rekening se groep nie ontvang nie. Om die administrateur te vra om ’n ander tipe te aktiveer sodat ’n ontbrekende knoppie verskyn, is ’n beleidsverandering met werklike gevolge, en om multi-faktor-verifikasie te verwyder om ’n aflaai-bladsy te bereik, ruil ’n verifikasiebeheer vir gerief in.

Afhangend van die weergawe bied die Admin Web UI ook profielbestuur vir ’n gebruiker, waar ’n administrateur ’n profiel kan uitreik of herroep sonder om as daardie persoon aan te meld. Waar daardie vermoë ontbreek, laai die gebruiker sy eie lêer af. In elk geval is die korrekte bron die beoogde rekening, nooit ’n gekopieerde administrateurprofiel wat as ’n sjabloon behandel word nie.

Kontrole 5: oorhandig, en hou dit herroepbaar

Behandel die aflaai as geloofsbriefmateriaal eerder as as ’n konfigurasielêer. ’n Gebruikersgeslote profiel bevat ’n private sleutel, so dit moet oor ’n kanaal reis wat jy vir ’n wagwoord sou gebruik, nie deur ’n gedeelde skyffolder of ’n geselsgroep nie. Teken aan watter gebruiker en toestel watter lêer ontvang het, want herroeping is per rekening: wanneer ’n skootrekenaar vervang of verloor word, herroep die administrateur daardie gebruiker se toegang en reik ’n nuwe profiel uit, en die ou lêer hou op werk by die volgende verbindingspoging.

Sluit af met vier kontroles in hierdie volgorde: die portaal-aanmelding was die beoogde gebruiker, die lêer bevat ’n identiteit eerder as net ’n bedieneradres, een toetsverbinding vanaf die beoogde kliënt slaag, en ’n tweede verbinding met ’n ander rekening misluk. As die vierde slaag, het jy die verkeerde lêer versprei, en herroeping is die volgende stap eerder as ’n konfigurasiewysiging. Die Access Server-aflaaihandleiding wys die huidige portaal-uitleg en die verskil tussen ’n profiel en ’n voorafopgestelde installeerder.