Jak sestavit klientský profil OpenVPN z vydaných souborů

Soubor ovpn je konfigurace, ne certifikát. Sestavte jeden klientský profil z vydané CA, certifikátu a klíče a potom ukotvěte identitu a adresář.

Váš operátor vám předá CA balík, klientský certifikát a jeho klíč, a klient nenaběhne, dokud je nespojíte do jednoho profilu. Profil je konfigurace: ukazuje na ty soubory, neobsahuje je a úpravou z něj certifikát neuděláte. Postup začíná na již schváleném notebooku a končí profilem, který můžete spustit ze známého adresáře. Nevytváří CA, nezapisuje nový certifikát a nedotýká se serveru.

Cílem je zde klient příkazové řádky OpenVPN 2.6 pro Linux, směrovaný TUN přes UDP, s autentizací certifikátem.

Shromážděte pouze soubory na straně klienta

Pracujte v chráněném adresáři a shromážděte schválený důvěryhodný materiál CA, vydaný klientský certifikát a soukromý klíč, který k němu patří. V tomto příkladu jsou názvy ca.crt, laptop-a.crt a laptop-a.key. Názvy souborů jsou jen štítky; nic neříkají o tom, co který soubor obsahuje.

Pokud jste klíč vygenerovali při zápisu, nikdy neopustil počítač; od vydavatele se musí vrátit jen podepsaný certifikát a veřejný řetězec. Ověřte, že certifikát nese klientskou roli, kterou služba očekává. Ověřte také, že klíč patří k tomuto certifikátu, a ne k dřívějšímu z předchozího pokusu. Neshodný pár způsobí selhání TLS mnohem později a to vypadá jako problém serveru.

Ponechte soukromý podpisový klíč CA, soukromý klíč serveru a parametry DH mimo tento balík.

Spojte soubory do malého profilu

Profil níže je záměrně krátký. Každý řádek buď vybírá koncový bod, nebo omezuje identitu, kterou klient přijme, nebo ukazuje na jeden ze tří souborů.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Řádek remote vybírá síťový koncový bod. remote-cert-tls server trvá na tom, aby protějšek předložil certifikát se serverovou rolí. verify-x509-name ukotví očekávaný název, zde vpn-gateway jako Common Name certifikátu serveru s výchozím polem názvu OpenVPN. Tato hodnota se neodvozuje z DNS názvu hostitele, proto použijte schéma identity, které dodal operátor.

Nevzdávejte se těchto kontrol jen proto, že testovací koncový bod ukazuje jiný certifikát.

Tento základní profil předpokládá žádnou samostatnou výzvu účtu a žádný klíč řídicího kanálu. Pokud služba potřebuje auth-user-pass, tls-auth nebo tls-crypt, ponechte konfiguraci a materiál, který jste dostali, protože tajemství řídicího kanálu, které si vygenerujete sami, nebude odpovídat tomu, které má server. Ponechte také šifrovou politiku služby, místo abyste importovali řádky komprese nebo šifry ze starého příkladu.

Udělejte pracovní adresář explicitním

Relativní cesty sledují pracovní adresář procesu, ne umístění souboru .ovpn.

To překvapí lidi, kteří profil přesunou do nové složky a čekají, že klíč půjde s ním. Pro adresář zvolený administrátorem příkaz níže přejde na absolutní cestu před načtením profilu a jeho odkazů.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Průvodce importem v prostředí plochy nebo systémová služba mohou závislosti zabalit za vás a použít vlastní pravidla. Mohou také použít jiný pracovní adresář, než ve kterém jste testovali. Potvrďte, jak váš způsob spuštění řeší cesty ke klíči, certifikátu a CA. Přesunutí pouze souboru .ovpn nepřesune samostatný soukromý klíč.

Uchovávejte klíč čitelný jen pro zamýšleného uživatele nebo identitu služby.

Ověřte předání, ne názvy souborů

Před prvním autorizovaným připojením zkontrolujte koncový bod, identitu certifikátu, vydavatele a dobu platnosti. Potom potvrďte, že odkazy na soubory se vyřeší z pracovního adresáře, který skutečně budete používat. Po připojení otestujte chování aplikace a DNS, které má zajistit směrovací politika. Tři čitelné soubory nic nedokazují o autorizaci serveru ani o použitelné cestě ke zdroji.

Pokud se objeví výzva k přístupové frázi, patří soukromému klíči, ne účtu VPN.

Nakonec proveďte inventuru balíku jako materiálu přihlašovacích údajů. Předání stejného certifikátu a klíče druhému notebooku kopíruje identitu a přejmenování souboru vám nedá druhou registraci. To je rozdíl mezi sestavením profilu a jeho vydáním.

Související články