تنزيل ملف تعريف OpenVPN Access Server: طابق الحساب

يُنشأ ملف تعريف Access Server المقفل على المستخدم لحساب واحد ويرفض كل حساب آخر، لذا تحدد خطوة التنزيل لمن يعود الملف قبل أن يهم أي إعداد في العميل. الترتيب أدناه هو ما أعطيه لكل من يطلب «ملف VPN»: سجّل الدخول بصفتك الشخص الذي سيستخدمه، واعثر على عنصر التحكم الخاص بإصدار خادمك، واقرأ ما الملف مقفل عليه، وتأكد من أن السياسة تسمح بهذا النوع، ثم سلّمه بطريقة تظل قادراً على إلغائها. توقف عند أول خطوة تفشل؛ فكل خطوة لاحقة تفترض أن الخطوة السابقة صحيحة.

الفحص 1: سجّل الدخول بالحساب، لا بالمسؤول

بوابة العميل هي واجهة المستخدم العادية، وعادة ما تكون على https://vpn.example:943/، بينما توجد الإدارة على https://vpn.example:943/admin. هذه أمثلة افتراضية؛ فأسماء المضيفين والمنافذ والوكلاء العكسيين تغيّرها، لذا استخدم العنوان الذي أعطاك إياه المشغل. تسجيل الدخول إلى مسار المسؤول أولاً هو أكثر الانحرافات شيوعاً، لأن جلسة المسؤول تستطيع إنشاء الحسابات وإدارتها لكنها ليست الحساب الذي سيحمل النفق.

إذا لم يكن الشخص قادراً بعد على تسجيل الدخول، فتوقف هنا وأصلح ذلك أولاً: إعادة تعيين كلمة المرور أو تعيين مجموعة مفقود أو حساب موجود فقط كمدخل مصادقة مستورد سيمنع التنزيل مهما كان المتصفح الذي تجربه. أما التنزيل من جلسة المسؤول نفسها فينتج ملف تعريف المسؤول، وهو بالضبط الملف الذي يجب ألا ينتهي على حاسوب شخص آخر.

الفحص 2: اعثر على عنصر التحكم في التنزيل الخاص بإصدارك

بعد تسجيل الدخول، تعرض البوابة عنصر تحكم لملف الاتصال قرب أعلى الصفحة. في Access Server 2.14 وما بعده يصفه البرنامج التعليمي بأنه قسم ملف الاتصال تحت «نزّل ملف تعريفك أدناه». وحين تقدم البوابة أيضاً مثبّت OpenVPN Connect المُهيأ مسبقاً، فهذان تسليمان مختلفان: أحدهما يثبّت العميل مع ملف التعريف مرفقاً بالفعل، والآخر يعطيك ملفاً لاستيراده في عميل لديك أصلاً.

الإصدار مهم هنا. قد تسمي بوابة أقدم الزر نفسه تسمية مختلفة، ويمكن لبوابة مخصصة بشكل كبير أن تنقله إلى ما تحت إشعار. إذا كان القسم غائباً تماماً، فلا تبدأ بتخمين عناوين URL: انتقل إلى فحص السياسة بدلاً من تجربة المسارات، لأن عنصر التحكم الغائب هو في الغالب قرار من جهة الخادم.

الفحص 3: اقرأ ما الملف مقفل عليه

يحمل ملف التعريف المقفل على المستخدم شهادة عميل ومفتاحاً مدمجين صادرين لمستخدم واحد، ويطابق الخادم تلك الهوية بذلك الحساب. إعادة تسمية الملف أو تعديل اسمه المعروض أو إدخال بيانات اعتماد مختلفة عند المطالبة لا تغيّر المطابقة، ولهذا يفشل ملف تعريف منسوخ عند الشخص الثاني بخطأ مصادقة أو شهادة لا بخطأ توجيه. انظر داخل الملف إذا احتجت إلى تأكيد ما لديك:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

يخبرك عدد الشهادات بأن هوية مدمجة؛ فأسطر remote تذكر الخادم فقط. لذلك يمكن أن ينتمي ملفان يشيران إلى الخادم نفسه إلى شخصين مختلفين، و ملف واحد يشير إلى خادمين يظل مرتبطاً بمالكه الأصلي. ولملفات التعريف المقفلة على الخادم والتسجيل التلقائي نماذج استخدام مسموح بها مختلفة مرة أخرى: فملف التعريف المقفل على الخادم يتوقع بيانات اعتماد وقت الاتصال، وملف التعريف بالتسجيل التلقائي يتجاوز مطالبة كلمة المرور بحكم التصميم. ولا يصبح أي منها نوعاً آخر بتعديل الملف.

الفحص 4: تأكد من أن السياسة تسمح بذلك النوع

تحديد أنواع ملفات التعريف الموجودة هو إعداد من المسؤول، لا تفضيل من العميل. إذا كانت البوابة تقدم تنزيلاً مقفلاً على المستخدم فقط، فقد لا يسمح الخادم بأي نوع آخر، أو قد يسمح بنوع لا تتلقاه مجموعة الحساب. وطلب تمكين نوع مختلف من المسؤول لكي يظهر زر غائب هو تغيير في السياسة ذو عواقب حقيقية، وإزالة المصادقة متعددة العوامل للوصول إلى صفحة تنزيل تقايض ضابط مصادقة بالراحة.

بحسب الإصدار، تعرض واجهة الويب الإدارية أيضاً إدارة ملف التعريف لمستخدم، حيث يستطيع المسؤول إصدار ملف تعريف أو إلغاءه دون تسجيل الدخول بصفة ذلك الشخص. وحيث تكون هذه الإمكانية غائبة، ينزّل المستخدم ملفه بنفسه. وفي الحالتين، المصدر الصحيح هو الحساب المقصود، وليس أبداً ملف تعريف مسؤول منسوخاً يُعامل كقالب.

الفحص 5: سلّم الملف، ثم أبقِه قابلاً للإلغاء

تعامل مع التنزيل كونه مادة اعتماد لا ملف إعدادات. فملف التعريف المقفل على المستخدم يحتوي مفتاحاً خاصاً، لذا ينبغي أن ينتقل عبر قناة تستخدمها لكلمة مرور، لا عبر مجلد مشترك على القرص أو مجموعة دردشة. سجّل أي مستخدم وأي جهاز تلقى أي ملف، لأن الإلغاء يتم لكل حساب: فعندما يُستبدل حاسوب محمول أو يُفقد، يلغي المسؤول وصول ذلك المستخدم ويصدر ملف تعريف جديداً، ويتوقف الملف القديم عن العمل عند محاولة الاتصال التالية.

اختم بأربعة فحوص بهذا الترتيب: أن يكون تسجيل الدخول إلى البوابة بالمستخدم المقصود، وأن يحتوي الملف هوية لا مجرد عنوان خادم، وأن ينجح اتصال اختباري واحد من العميل المقصود، وأن يفشل اتصال ثانٍ باستخدام حساب آخر. إذا نجح الرابع فقد وزّعت الملف الخطأ، والإلغاء هو الخطوة التالية لا تعديل الإعداد. أما دليل تنزيل Access Server فيعرض تخطيط البوابة الحالي والفرق بين ملف التعريف والمثبّت المُهيأ مسبقاً.