Com muntar un perfil de client OpenVPN amb els fitxers emesos

El vostre operador us lliura un paquet de CA, un certificat de client i la seva clau, i el client no arrencarà fins que estiguin connectats en un sol perfil. El perfil és configuració: apunta a aquests fitxers, no els conté, i editar-lo no el pot convertir en un certificat. El recorregut comença en un portàtil ja aprovat i acaba amb un perfil que podeu iniciar des d'un directori conegut. No crea cap CA, no inscriu cap certificat nou ni toca el servidor.

Aquí l'objectiu és un client de línia d'ordres OpenVPN 2.6 per a Linux, encaminat amb TUN sobre UDP, amb autenticació per certificat.

Aplegueu només els fitxers del costat del client

Treballa en un directori protegit i aplega el material de confiança de la CA aprovat, el certificat de client que us han emès i la clau privada que hi correspon. En aquest exemple els noms són ca.crt, laptop-a.crt i laptop-a.key. Els noms de fitxer només són etiquetes; no diuen res sobre què conté cada fitxer.

Si vau generar la clau durant la inscripció, mai no va sortir de la màquina; només cal que tornin de l'emissor el certificat signat i la cadena pública. Comproveu que el certificat porti el rol de client que el servei espera. Comproveu també que la clau pertany a aquest certificat i no a un d'anterior d'una temptativa prèvia. Una parella que no coincideix produeix un error TLS molt més tard, que sembla un problema del servidor.

Deixeu la clau privada de signatura de la CA, la clau privada del servidor i els paràmetres DH fora d'aquest paquet.

Connecteu els fitxers en un perfil petit

El perfil de sota és deliberadament curt. Cada línia o bé tria el punt final, o bé restringeix la identitat que el client acceptarà, o bé apunta a un dels tres fitxers.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

La línia remote tria el punt final de xarxa. remote-cert-tls server exigeix que el parell presenti un certificat amb rol de servidor. verify-x509-name fixa el nom esperat, aquí vpn-gateway com a Common Name del certificat del servidor amb el camp de nom per defecte d'OpenVPN. Aquest valor no s'infereix del nom d'amfitrió DNS, així que feu servir l'esquema d'identitat que hagi proporcionat l'operador.

No descarteu aquestes comprovacions només perquè un punt final de prova mostri un certificat diferent.

Aquest perfil base no pressuposa cap desafiament de compte separat ni cap clau de canal de control. Si el servei necessita auth-user-pass, tls-auth o tls-crypt, conserveu la configuració i el material que us han donat, perquè un secret de canal de control generat per vosaltres no coincidirà amb el que té el servidor. Conserveu també la política de xifratge del servei en lloc d'importar línies de compressió o de xifratge d'un exemple antic.

Feu explícit el directori de treball

Els camins relatius segueixen el directori de treball del procés, no la ubicació del fitxer .ovpn.

Això sorprèn qui mou el perfil a una carpeta nova i espera que la clau el segueixi. Per a un directori triat per l'administrador, l'ordre de sota canvia a un camí absolut abans de llegir el perfil i les seves referències.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Un assistent d'importació d'escriptori o un servei del sistema poden empaquetar les dependències per vosaltres i aplicar regles pròpies. També poden usar un directori de treball diferent del que vau provar. Confirmeu com el vostre mètode d'inici resol els camins de la clau, el certificat i la CA. Moure només el fitxer .ovpn no mou la clau privada separada.

Manteniu la clau llegible només per a l'usuari o la identitat de servei previstos.

Verifiqueu el lliurament, no els noms de fitxer

Abans de la primera connexió autoritzada, comproveu el punt final, la identitat del certificat, l'emissor i la finestra de validesa. Després confirmeu que les referències als fitxers es resolen des del directori de treball que fareu servir realment. Un cop connectat, proveu el comportament de l'aplicació i del DNS que ha de proporcionar la política d'encaminament. Tres fitxers llegibles no demostren res sobre l'autorització del servidor ni sobre un camí de recurs utilitzable.

Si apareix una petició de frase de pas, pertany a la clau privada, no a un compte de VPN.

Finalment, feu inventari del paquet com a material de credencials. Lliurar el mateix certificat i la mateixa clau a un segon portàtil copia la identitat, i reanomenar el fitxer no us dóna una segona inscripció. Aquesta és la diferència entre muntar un perfil i emetre'l.