Спампоўка профілю OpenVPN Access Server: падыходзьце пад правільны ўліковы запіс

Профіль Access Server, прывязаны да карыстальніка, ствараецца для аднаго ўліковага запісу і адмаўляе ўсім іншым, таму крок спампоўкі вызначае, каму належыць файл, раней за любыя налады кліента. Парадак ніжэй — той, які я даю кожнаму, хто просіць «файл VPN»: увайдзіце як чалавек, які будзе ім карыстацца, знойдзіце элемент кіравання для вашай версіі сервера, прачытайце, да чаго прывязаны файл, пераканайцеся, што палітыка дазваляе гэты тып, а потым перадайце яго так, каб вы ўсё яшчэ маглі адклікаць доступ. Спыніцеся на першым кроку, які не ўдаўся; кожны наступны крок мяркуе, што папярэдні выкананы.

Праверка 1: увайдзіце як уліковы запіс, а не як адміністратар

Кліенцкі партал — звычайны карыстальніцкі інтэрфейс, звычайна па адрасе https://vpn.example:943/, а кіраванне знаходзіцца па адрасе https://vpn.example:943/admin. Гэта прадвызначаныя прыклады; імёны хастоў, парты і зваротныя проксі іх змяняюць, таму выкарыстоўвайце адрас, які даў вам аператар. Уваход спачатку па шляху адміністратара — самая частая памылка, бо адміністратарская сесія можа ствараць і кіраваць уліковымі запісамі, але не з’яўляецца тым запісам, які будзе несці тунель.

Калі чалавек яшчэ не можа ўвайсці, спыніцеся тут і спачатку выпраўце гэта: скід пароля, адсутнае прызначэнне групы або запіс, які існуе толькі як імпартаваны запіс аўтэнтыфікацыі, заблакуюць спампоўку ў любым браўзеры. Спампоўка з уласнай сесіі адміністратара дае профіль адміністратара, а гэта менавіта той файл, які не павінен апынуцца на ноўтбуку кагосьці іншага.

Праверка 2: знойдзіце элемент спампоўкі для вашай версіі

Пасля ўваходу партал паказвае элемент кіравання профілем злучэння каля верхняй часткі старонкі. Для Access Server 2.14 і навейшых урок апісвае яго як раздзел «Профіль злучэння» пад надпісам «Спампуйце ваш профіль ніжэй». Калі партал таксама прапануе папярэдне наладжаны ўсталявальнік OpenVPN Connect, гэта два розныя спосабы перадачы: адзін усталёўвае кліента з ужо далучаным профілем, другі дае файл для імпарту ў кліента, які ў вас ужо ёсць.

Тут важная версія. Старэйшы партал можа называць тую ж кнопку інакш, а моцна наладжаны партал можа перасунуць яе пад паведамленне. Калі раздзел цалкам адсутнічае, не пачынайце ўгадваць URL-адрасы: перайдзіце да праверкі палітыкі замест эксперыментаў з шляхамі, бо адсутны элемент кіравання амаль заўсёды азначае рашэнне на баку сервера.

Праверка 3: прачытайце, да чаго прывязаны файл

Профіль, прывязаны да карыстальніка, змяшчае ўбудаваны кліенцкі сертыфікат і ключ, выдадзеныя аднаму карыстальніку, і сервер супастаўляе гэтую асобу з тым уліковым запісам. Перайменаванне файла, змена яго адлюстраванай назвы або ўвод іншых уліковых даных у запросе не змяняюць супастаўленне, таму скапіяваны профіль не працуе ў другога чалавека з памылкай аўтэнтыфікацыі ці сертыфіката, а не з праблемай маршрутызацыі. Загляніце ў файл, калі трэба пацвердзіць, што ў вас ёсць:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Колькасць сертыфікатаў паказвае, што асоба ўбудаваная; радкі remote указваюць толькі сервер. Таму два файлы, якія паказваюць на адзін сервер, могуць належаць розным людзям, а адзін файл, які паказвае на два серверы, усё роўна прывязаны да свайго першапачатковага ўладальніка. Профілі, прывязаныя да сервера, і профілі з аўтаматычным уваходам маюць зноў іншыя дапушчальныя мадэлі выкарыстання: профіль, прывязаны да сервера, чакае ўліковыя даныя падчас падключэння, а профіль з аўтаматычным уваходам па сваёй задуме прапускае запыт пароля. Ні адзін з іх не становіцца іншым тыпам праз рэдагаванне файла.

Праверка 4: пераканайцеся, што палітыка дазваляе гэты тып

Якія тыпы профіляў існуюць — гэта налада адміністратара, а не перавага кліента. Калі партал прапануе толькі спампоўку, прывязаную да карыстальніка, сервер можа не дазваляць іншы тып або дазваляць той, які група ўліковага запісу не атрымлівае. Просіць адміністратара ўключыць іншы тып, каб з’явілася адсутная кнопка, — гэта змена палітыкі з рэальнымі наступствамі, а выдаленне шматфактарнай аўтэнтыфікацыі дзеля доступу да старонкі спампоўкі мяняе кантроль аўтэнтыфікацыі на зручнасць.

У залежнасці ад версіі, вэб-інтэрфейс адміністратара таксама дае кіраванне профілем карыстальніка, дзе адміністратар можа выдаць або адклікаць профіль, не ўваходзячы як гэты чалавек. Там, дзе гэтай магчымасці няма, карыстальнік спампоўвае ўласны файл. У любым выпадку правільная крыніца — мэтавы ўліковы запіс, а ніколі не скапіяваны профіль адміністратара, які выкарыстоўваюць як шаблон.

Праверка 5: перадайце файл, а потым захавайце магчымасць адклікаць яго

Стаўцеся да спампоўкі як да матэрыялу ўліковых даных, а не як да файла канфігурацыі. Профіль, прывязаны да карыстальніка, змяшчае прыватны ключ, таму ён павінен ісці каналам, які вы выкарысталі б для пароля, а не праз агульную папку на дыску ці групу ў чаце. Запісвайце, які карыстальнік і прылада атрымалі які файл, бо адкліканне выконваецца па ўліковым запісе: калі ноўтбук замяняюць або губляюць, адміністратар адклікае доступ гэтага карыстальніка і выдае новы профіль, а стары файл перастае працаваць пры наступнай спробе злучэння.

Завяршыце чатырма праверкамі ў такім парадку: уваход у партал быў ад мэтавага карыстальніка, файл змяшчае асобу, а не толькі адрас сервера, адно тэставае злучэнне з мэтавага кліента ўдаецца, а другое злучэнне з іншым уліковым запісам не ўдаецца. Калі чацвёртая ўдаецца, вы распаўсюдзілі не той файл, і наступны крок — адкліканне, а не рэдагаванне канфігурацыі. Урок па спампоўцы Access Server паказвае бягучую разметку партала і розніцу паміж профілем і папярэдне наладжаным усталявальнікам.