Baixada del perfil d’OpenVPN Access Server: el compte correcte

Un perfil d’Access Server bloquejat per usuari es genera per a un compte i en rebutja qualsevol altre, de manera que el pas de baixada decideix a qui pertany el fitxer abans que cap paràmetre del client tingui importància. L’ordre següent és el que dono a qui demana «el fitxer VPN»: inicieu la sessió com la persona que el farà servir, trobeu el control per a la vostra versió del servidor, llegiu a què està bloquejat el fitxer, confirmeu que la política permet aquest tipus i, després, lliureu-lo d’una manera que encara pugueu revocar. Atureu-vos al primer pas que falli; cada pas posterior pressuposa que l’anterior s’ha complert.

Comprovació 1: inicieu la sessió com el compte, no com l’administrador

El portal del client és la interfície d’usuari habitual, normalment a https://vpn.example:943/, mentre que l’administració és a https://vpn.example:943/admin. Aquests són exemples per defecte; els noms d’amfitrió, els ports i els proxys inversos els canvien, així que feu servir l’adreça que us va donar l’operador. Iniciar la sessió primer al camí d’administració és el pas equivocat més habitual, perquè la sessió d’administració pot crear i gestionar comptes, però no és el compte que portarà el túnel.

Si la persona encara no pot iniciar la sessió, atureu-vos aquí i arregleu-ho primer: un restabliment de contrasenya, una assignació de grup que falta o un compte que només existeix com a entrada d’autenticació importada bloquejaran la baixada sigui quin sigui el navegador que proveu. Baixar des de la sessió del mateix administrador produeix el perfil de l’administrador, que és exactament el fitxer que no ha d’acabar a l’ordinador portàtil d’una altra persona.

Comprovació 2: trobeu el control de baixada per a la vostra versió

Un cop hàgiu iniciat la sessió, el portal mostra un control de perfil de connexió a prop de la part superior de la pàgina. Per a Access Server 2.14 i versions posteriors, el tutorial el descriu com una secció Perfil de connexió sota «Baixeu el vostre perfil a continuació». Quan el portal també ofereix un instal·lador d’OpenVPN Connect preconfigurat, són dos lliuraments diferents: un instal·la el client amb el perfil ja adjunt, l’altre us dona un fitxer per importar en un client que ja teniu.

La versió hi té a veure. Un portal més antic pot etiquetar el mateix botó de manera diferent, i un portal molt personalitzat el pot moure sota un avís. Si la secció falta del tot, no comenceu a endevinar URL: passeu a la comprovació de política en lloc d’experimentar amb camins, perquè un control que falta gairebé sempre és una decisió del costat del servidor.

Comprovació 3: llegiu a què està bloquejat el fitxer

Un perfil bloquejat per usuari porta un certificat de client i una clau incrustats emesos per a un usuari, i el servidor assigna aquesta identitat a aquell compte. Canviar el nom del fitxer, editar-ne el nom de visualització o escriure credencials diferents al missatge no altera l’assignació, i per això un perfil copiat falla per a la segona persona amb un error d’autenticació o de certificat en lloc d’un problema d’encaminament. Mireu dins del fitxer si necessiteu confirmar què teniu:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

El recompte de certificats us diu que hi ha una identitat incrustada; les línies remote només indiquen el servidor. Per tant, dos fitxers que apunten al mateix servidor poden pertànyer a persones diferents, i un fitxer que apunta a dos servidors continua lligat al seu propietari original. Els perfils bloquejats per servidor i els d’inici de sessió automàtic tenen un altre cop models d’ús permesos diferents: un perfil bloquejat per servidor espera credencials en el moment de connectar, i un perfil d’inici de sessió automàtic omet el missatge de contrasenya per disseny. Cap d’ells es converteix en un altre tipus editant el fitxer.

Comprovació 4: confirmeu que la política permet aquest tipus

Quins tipus de perfil existeixen és un paràmetre de l’administrador, no una preferència del client. Si el portal només ofereix una baixada bloquejada per usuari, el servidor pot no permetre cap altre tipus, o pot permetre’n un que el grup del compte no rep. Demanar a l’administrador que habiliti un altre tipus per fer aparèixer un botó que falta és un canvi de política amb conseqüències reals, i treure l’autenticació multifactor per arribar a una pàgina de baixada bescanvia un control d’autenticació per comoditat.

Segons la versió, la interfície web d’administració també exposa la gestió de perfils per a un usuari, on un administrador pot emetre o revocar un perfil sense iniciar la sessió com aquella persona. On aquesta capacitat no hi és, l’usuari baixa el seu propi fitxer. En qualsevol cas, la font correcta és el compte previst, mai un perfil d’administrador copiat tractat com a plantilla.

Comprovació 5: lliureu-lo i després manteniu-lo revocable

Tracteu la baixada com a material de credencials i no com un fitxer de configuració. Un perfil bloquejat per usuari conté una clau privada, així que ha de viatjar per un canal que faríeu servir per a una contrasenya, no per una carpeta compartida del disc ni per un grup de xat. Anoteu quin usuari i quin dispositiu han rebut quin fitxer, perquè la revocació és per compte: quan un ordinador portàtil es substitueix o es perd, l’administrador revoca l’accés d’aquell usuari i emet un perfil nou, i el fitxer antic deixa de funcionar al següent intent de connexió.

Acabeu amb quatre comprovacions en aquest ordre: l’inici de sessió al portal era l’usuari previst, el fitxer conté una identitat i no només una adreça de servidor, una connexió de prova des del client previst té èxit i una segona connexió amb un altre compte falla. Si la quarta té èxit, heu distribuït el fitxer equivocat, i la revocació és el pas següent i no una edició de la configuració. El tutorial de baixada d’Access Server mostra la disposició actual del portal i la diferència entre un perfil i un instal·lador preconfigurat.