Preuzimanje profila OpenVPN Access Server: uskladite račun

Profil Access Servera zaključan na korisnika generiše se za jedan račun i odbija svaki drugi, pa korak preuzimanja odlučuje kome datoteka pripada prije nego što bilo koja postavka klijenta postane važna. Redoslijed ispod je onaj koji dajem svakome ko traži „VPN datoteku“: prijavite se kao osoba koja će je koristiti, pronađite kontrolu za svoju verziju servera, pročitajte na šta je datoteka zaključana, potvrdite da politika dozvoljava taj tip, a zatim je predajte na način na koji je još uvijek možete opozvati. Zaustavite se na prvom koraku koji ne uspije; svaki sljedeći korak pretpostavlja da je prethodni uspio.

Provjera 1: prijavite se kao račun, ne kao administrator

Klijentski portal je uobičajeno korisničko sučelje, obično na https://vpn.example:943/, dok administracija stoji na https://vpn.example:943/admin. To su zadani primjeri; imena hostova, portovi i obrnuti proxyji ih mijenjaju, pa koristite adresu koju vam je dao operater. Prijava prvo na administratorsku putanju najčešći je pogrešan korak, jer administratorska sesija može stvarati i upravljati računima, ali nije račun koji će nositi tunel.

Ako osoba još ne može da se prijavi, zaustavite se ovdje i prvo to popravite: resetovanje lozinke, nedostajuća dodjela grupe ili račun koji postoji samo kao uvezeni unos autentifikacije blokiraće preuzimanje bez obzira koji preglednik pokušate. Preuzimanje iz administratorove vlastite sesije daje administratorov profil, a to je upravo datoteka koja ne smije završiti na tuđem laptopu.

Provjera 2: pronađite kontrolu za preuzimanje za svoju verziju

Nakon prijave, portal prikazuje kontrolu za profil veze pri vrhu stranice. Za Access Server 2.14 i novije, tutorijal je opisuje kao odjeljak Profil veze pod „Preuzmite svoj profil ispod“. Kada portal nudi i unaprijed konfigurisani instalater OpenVPN Connecta, to su dva različita predavanja: jedan instalira klijenta s već priloženim profilom, drugi vam daje datoteku za uvoz u klijenta koji već imate.

Verzija je ovdje važna. Stariji portal može isto dugme označiti drugačije, a jako prilagođen portal može ga pomjeriti ispod obavještenja. Ako odjeljak u potpunosti nedostaje, ne počinjite nagađati URL-ove: pređite na provjeru politike umjesto eksperimentisanja s putanjama, jer kontrola koja nedostaje gotovo je uvijek odluka na strani servera.

Provjera 3: pročitajte na šta je datoteka zaključana

Profil zaključan na korisnika nosi ugrađeni klijentski certifikat i ključ izdat za jednog korisnika, a server tu identitetu preslikava na taj račun. Preimenovanje datoteke, uređivanje njenog prikaznog imena ili upisivanje drugačijih akreditiva na upitu ne mijenja preslikavanje, zbog čega kopirani profil kod druge osobe pada s greškom autentifikacije ili certifikata, a ne s problemom rutiranja. Pogledajte unutar datoteke ako trebate potvrditi šta imate:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Broj certifikata vam govori da je identitet ugrađen; linije remote imenuju samo server. Zato dvije datoteke koje pokazuju na isti server mogu pripadati različitim ljudima, a jedna datoteka koja pokazuje na dva servera je i dalje vezana za svog prvobitnog vlasnika. Profili zaključani na server i profili s automatskom prijavom imaju opet drugačije dozvoljene modele upotrebe: profil zaključan na server očekuje akreditive u trenutku povezivanja, a profil s automatskom prijavom po dizajnu preskače upit za lozinku. Nijedan od njih ne postaje drugi tip uređivanjem datoteke.

Provjera 4: potvrdite da politika dozvoljava taj tip

Koji tipovi profila postoje je administratorska postavka, a ne klijentska preferencija. Ako portal nudi samo preuzimanje zaključano na korisnika, server možda ne dozvoljava nijedan drugi tip ili dozvoljava onaj koji grupa računa ne prima. Traženje od administratora da omogući drugačiji tip kako bi se pojavilo dugme koje nedostaje je promjena politike sa stvarnim posljedicama, a uklanjanje višefaktorske autentifikacije da bi se došlo do stranice za preuzimanje mijenja kontrolu autentifikacije za udobnost.

Ovisno o verziji, Admin Web UI također izlaže upravljanje profilima za korisnika, gdje administrator može izdati ili opozvati profil bez prijave kao ta osoba. Gdje ta mogućnost nedostaje, korisnik preuzima vlastitu datoteku. U svakom slučaju, ispravan izvor je predviđeni račun, nikada kopirani administratorski profil tretiran kao predložak.

Provjera 5: predajte, a zatim zadržite opozivost

Tretirajte preuzimanje kao akreditivni materijal, a ne kao konfiguracijsku datoteku. Profil zaključan na korisnika sadrži privatni ključ, pa treba putovati kanalom koji biste koristili za lozinku, a ne kroz dijeljenu mapu na disku ili chat grupu. Zabilježite koji korisnik i uređaj su dobili koju datoteku, jer opoziv je po računu: kada se laptop zamijeni ili izgubi, administrator opoziva pristup tog korisnika i izdaje novi profil, a stara datoteka prestaje raditi pri sljedećem pokušaju povezivanja.

Završite s četiri provjere u ovom redu: prijava na portal bila je predviđeni korisnik, datoteka sadrži identitet, a ne samo adresu servera, jedna testna veza s predviđenog klijenta uspijeva, a druga veza s drugim računom ne uspijeva. Ako četvrta uspije, podijelili ste pogrešnu datoteku, a opoziv je sljedeći korak, a ne uređivanje konfiguracije. Tutorijal za preuzimanje Access Servera prikazuje trenutni izgled portala i razliku između profila i unaprijed konfigurisanog instalatera.