Изтегляне на профил за OpenVPN Access Server: към правилния акаунт

Профил на Access Server, заключен към потребител, се създава за един акаунт и отказва всеки друг, затова стъпката на изтегляне решава на кого принадлежи файлът, преди да има значение каквато и да е настройка на клиента. Редът по-долу е този, който давам на всеки, който поиска „VPN файла“: влезте като човека, който ще го използва, намерете контролата за вашата версия на сървъра, прочетете към какво е заключен файлът, потвърдете, че политиката позволява този тип, и след това го предайте по начин, по който все още можете да го отмените. Спрете на първата стъпка, която се провали; всяка следваща стъпка предполага, че предишната е била изпълнена.

Проверка 1: влезте като акаунта, не като администратора

Клиентският портал е обикновеният потребителски интерфейс, обикновено на https://vpn.example:943/, докато администрирането се намира на https://vpn.example:943/admin. Това са примери по подразбиране; имената на хостовете, портовете и обратните проксита ги променят, затова използвайте адреса, който ви е дал операторът. Влизането първо в администраторския път е най-честата грешна стъпка, защото администраторската сесия може да създава и управлява акаунти, но не е акаунтът, който ще носи тунела.

Ако човекът все още не може да влезе, спрете тук и първо оправете това: нулиране на парола, липсващо назначение на група или акаунт, който съществува само като импортиран запис за удостоверяване, ще блокират изтеглянето независимо кой браузър опитате. Изтеглянето от собствената сесия на администратора създава профила на администратора и това е точно файлът, който не бива да се озове на чужд лаптоп.

Проверка 2: намерете контролата за изтегляне за вашата версия

След като влезете, порталът показва контрола за профил за връзка близо до горната част на страницата. За Access Server 2.14 и по-нови ръководството я описва като секция „Профил за връзка“ под „Изтеглете профила си по-долу“. Когато порталът предлага и предварително конфигуриран инсталатор на OpenVPN Connect, това са две различни предавания: едното инсталира клиента с вече прикачен профил, другото ви дава файл за импортиране в клиент, който вече имате.

Версията има значение тук. По-стар портал може да обозначи същия бутон другояче, а силно персонализиран портал може да го премести под известие. Ако секцията липсва напълно, не започвайте да гадаете URL адреси: преминете към проверката на политиката, вместо да експериментирате с пътища, защото липсващата контрола почти винаги е решение от страната на сървъра.

Проверка 3: прочетете към какво е заключен файлът

Профилът, заключен към потребител, носи вграден клиентски сертификат и ключ, издадени за един потребител, и сървърът свързва тази идентичност с този акаунт. Преименуването на файла, редактирането на показваното му име или въвеждането на други идентификационни данни при подканата не променят свързването, затова копиран профил се проваля при втория човек с грешка за удостоверяване или сертификат, а не с проблем с маршрутизацията. Погледнете във файла, ако трябва да потвърдите какво имате:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Броят на сертификатите ви казва, че има вградена идентичност; редовете remote посочват само сървъра. Затова два файла, които сочат към един и същ сървър, могат да принадлежат на различни хора, а един файл, който сочи към два сървъра, все още е обвързан с първоначалния си собственик. Профилите, заключени към сървър, и профилите с автоматично влизане имат отново различни разрешени модели на използване: профилът, заключен към сървър, очаква идентификационни данни при свързване, а профилът с автоматично влизане пропуска подканата за парола по замисъл. Никой от тях не става друг тип чрез редактиране на файла.

Проверка 4: потвърдете, че политиката позволява този тип

Кои типове профили съществуват е настройка на администратора, а не предпочитание на клиента. Ако порталът предлага само изтегляне, заключено към потребител, сървърът може да не позволява друг тип или да позволява такъв, който групата на акаунта не получава. Да помолите администратора да включи различен тип, за да се появи липсващ бутон, е промяна в политиката с реални последствия, а премахването на многофакторното удостоверяване, за да стигнете до страница за изтегляне, разменя контрол за удостоверяване срещу удобство.

В зависимост от версията административният уеб интерфейс също предлага управление на профил за потребител, където администраторът може да издаде или отмени профил, без да влиза като този човек. Където тази възможност липсва, потребителят изтегля собствения си файл. Във всеки случай правилният източник е предвиденият акаунт, никога копиран администраторски профил, използван като шаблон.

Проверка 5: предайте файла, после го дръжте отменим

Отнасяйте се към изтеглянето като към материал за идентификационни данни, а не като към конфигурационен файл. Профилът, заключен към потребител, съдържа частен ключ, затова трябва да пътува по канал, който бихте използвали за парола, а не през споделена папка на диск или чат група. Записвайте кой потребител и кое устройство са получили кой файл, защото отмяната е за всеки акаунт: когато лаптоп бъде заменен или загубен, администраторът отменя достъпа на този потребител и издава нов профил, а старият файл спира да работи при следващия опит за свързване.

Завършете с четири проверки в този ред: влизането в портала е било с предвидения потребител, файлът съдържа идентичност, а не само адрес на сървър, едно тестово свързване от предвидения клиент успява, а второ свързване с друг акаунт се проваля. Ако четвъртото успява, сте разпространили грешния файл и отмяната е следващата стъпка, а не редакция на конфигурацията. Ръководството за изтегляне на Access Server показва текущото оформление на портала и разликата между профил и предварително конфигуриран инсталатор.