Verilmiş fayllardan OpenVPN müştəri profilini necə yığmaq olar

Operatorunuz sizə CA paketi, müştəri sertifikatı və onun açarını verir və bu fayllar bir profilə birləşdirilməyincə müştəri işə düşməyəcək. Profil konfiqurasiyadır: həmin fayllara işarə edir, onları özündə saxlamır və onu redaktə etməklə sertifikata çevirmək mümkün deyil. Bələdçi əvvəlcədən təsdiqlənmiş noutbukdan başlayır və məlum qovluqdan işə sala biləcəyiniz profil ilə bitir. O, CA yaratmır, yeni sertifikat qeydiyyata almır və serverə toxunmur.

Burada hədəf Linux üçün OpenVPN 2.6 əmr sətri müştərisidir; TUN UDP üzərindən yönləndirilir və sertifikat autentifikasiyası istifadə olunur.

Yalnız müştəri tərəfinin fayllarını toplayın

Qorunan qovluqda işləyin və təsdiqlənmiş CA etimad materialını, sizə verilmiş müştəri sertifikatını və ona uyğun şəxsi açarı toplayın. Bu nümunədə adlar ca.crt, laptop-a.crt və laptop-a.key-dir. Fayl adları yalnız etiketdir; hər faylın nə saxladığı barədə heç nə demir.

Açarı qeydiyyat zamanı yaratmısınızsa, o, maşından heç vaxt çıxmayıb; verən tərəfdən yalnız imzalanmış sertifikat və açıq zəncir geri qayıtmalıdır. Sertifikatın xidmətin gözlədiyi müştəri rolunu daşıdığını yoxlayın. Açarın həmin sertifikata aid olduğunu, əvvəlki cəhddən qalan köhnə sertifikata aid olmadığını da yoxlayın. Uyğunsuz cüt çox sonra TLS nasazlığı yaradır və bu, server problemi kimi görünür.

CA-nın şəxsi imzalama açarını, serverin şəxsi açarını və DH parametrlərini bu paketdən kənarda saxlayın.

Faylları kiçik bir profilə birləşdirin

Aşağıdakı profil qəsdən qısadır. Hər sətir ya son nöqtəni seçir, ya müştərinin qəbul edəcəyi kimliyi məhdudlaşdırır, ya da üç fayldan birinə işarə edir.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote sətri şəbəkə son nöqtəsini seçir. remote-cert-tls server qarşı tərəfin server rollu sertifikat təqdim etməsini tələb edir. verify-x509-name gözlənilən adı bərkidir, burada vpn-gateway server sertifikatının OpenVPN-in standart ad sahəsi ilə Common Name dəyəridir. Bu dəyər DNS host adından çıxarılmır, ona görə operatorun verdiyi kimlik sxemindən istifadə edin.

Sadəcə sınaq son nöqtəsi fərqli sertifikat göstərdiyi üçün bu yoxlamalardan imtina etməyin.

Bu baza profil ayrıca hesab çağırışı və idarəetmə kanalı açarı olmadığını fərz edir. Xidmətə auth-user-pass, tls-auth və ya tls-crypt lazımdırsa, konfiqurasiyanı və sizə verilmiş materialı saxlayın, çünki özünüz yaratdığınız idarəetmə kanalı sirri serverin saxladığı ilə uyğun gəlməyəcək. Köhnə nümunədən sıxılma və ya şifrə sətirləri idxal etmək əvəzinə xidmətin şifrə siyasətini də saxlayın.

İş qovluğunu açıq şəkildə göstərin

Nisbi yollar prosesin iş qovluğuna uyğun gəlir, .ovpn faylının yerinə deyil.

Bu, profili yeni qovluğa köçürən və açarın onunla gedəcəyini gözləyənləri təəccübləndirir. Administratorun seçdiyi qovluq üçün aşağıdakı əmr profili və onun istinadlarını oxumadan əvvəl mütləq yola keçir.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Masaüstü idxal sehrbazı və ya sistem xidməti asılılıqları sizin üçün paketləyə və öz qaydalarını tətbiq edə bilər. O, həmçinin sınaqdan keçirdiyinizdən fərqli iş qovluğu istifadə edə bilər. Başlatma üsulunuzun açar, sertifikat və CA yollarını necə həll etdiyini təsdiqləyin. Yalnız .ovpn faylını köçürmək ayrı şəxsi açarı köçürmür.

Açarı yalnız nəzərdə tutulan istifadəçi və ya xidmət kimliyi üçün oxunaqlı saxlayın.

Fayl adlarını deyil, təhvili yoxlayın

İlk icazəli bağlantıdan əvvəl son nöqtəni, sertifikat kimliyini, verən tərəfi və etibarlılıq pəncərəsini yoxlayın. Sonra fayl istinadlarının həqiqətən istifadə edəcəyiniz iş qovluğundan həll olunduğunu təsdiqləyin. Qoşulduqdan sonra marşrutlaşdırma siyasətinin təmin etməli olduğu tətbiq və DNS davranışını sınayın. Üç oxunaqlı fayl server avtorizasiyası və ya istifadə oluna bilən resurs yolu barədə heç nə sübut etmir.

Parol ifadəsi sorğusu görünürsə, o, VPN hesabına deyil, şəxsi açara aiddir.

Nəhayət, paketi etimad materialı kimi inventarlaşdırın. Eyni sertifikatı və açarı ikinci noutbuka vermək kimliyi kopyalayır və faylın adını dəyişmək sizə ikinci qeydiyyat vermir. Profil yığmaqla onu vermək arasındakı fərq budur.