Stažení profilu OpenVPN Access Server: správný účet

Profil Access Serveru uzamčený na uživatele se vytváří pro jeden účet a každý jiný odmítá, takže krok stažení rozhoduje o tom, komu soubor patří, dřív než začne záležet na jakémkoli nastavení klienta. Pořadí níže je to, které dávám každému, kdo žádá „soubor VPN“: přihlaste se jako osoba, která jej bude používat, najděte ovládání pro svou verzi serveru, přečtěte si, k čemu je soubor uzamčen, ověřte, že zásada tento typ povoluje, a potom jej předejte způsobem, který můžete stále odvolat. Zastavte se u prvního kroku, který selže; každý další krok předpokládá, že předchozí platil.

Kontrola 1: přihlaste se jako účet, ne jako správce

Klientský portál je běžné uživatelské rozhraní, obvykle na https://vpn.example:943/, zatímco správa sídlí na https://vpn.example:943/admin. To jsou výchozí příklady; názvy hostitelů, porty a reverzní proxy je mění, proto použijte adresu, kterou vám dal operátor. Přihlášení nejprve na cestu správce je nejčastější chybný krok, protože relace správce může vytvářet a spravovat účty, ale není to účet, který ponese tunel.

Pokud se osoba ještě nemůže přihlásit, zastavte se zde a nejprve to opravte: reset hesla, chybějící přiřazení do skupiny nebo účet, který existuje jen jako importovaná položka ověřování, zablokují stažení bez ohledu na to, který prohlížeč zkusíte. Stažení z vlastní relace správce vytvoří profil správce, a to je přesně ten soubor, který nesmí skončit na cizím notebooku.

Kontrola 2: najděte ovládání stažení pro svou verzi

Po přihlášení portál zobrazí ovládání profilu připojení poblíž horní části stránky. U Access Serveru 2.14 a novějšího jej výukový text popisuje jako sekci Profil připojení pod „Stáhněte si svůj profil níže“. Když portál nabízí také předkonfigurovaný instalační program OpenVPN Connect, jde o dvě různá předání: jedno nainstaluje klienta s už připojeným profilem, druhé vám dá soubor k importu do klienta, který už máte.

Verze zde hraje roli. Starší portál může stejné tlačítko označit jinak a silně přizpůsobený portál jej může přesunout pod oznámení. Pokud sekce úplně chybí, nezačínejte hádat URL: přejděte ke kontrole zásad místo experimentování s cestami, protože chybějící ovládání je téměř vždy rozhodnutí na straně serveru.

Kontrola 3: přečtěte si, k čemu je soubor uzamčen

Profil uzamčený na uživatele nese vložený klientský certifikát a klíč vydaný jednomu uživateli a server tuto identitu mapuje na daný účet. Přejmenování souboru, úprava zobrazovaného názvu nebo zadání jiných přihlašovacích údajů ve výzvě mapování nezmění, a proto kopírovaný profil u druhé osoby selže s chybou ověřování nebo certifikátu, nikoli s problémem směrování. Podívejte se do souboru, pokud potřebujete potvrdit, co máte:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Počet certifikátů vám říká, že je vložena identita; řádky remote pojmenovávají jen server. Dva soubory mířící na stejný server tedy mohou patřit různým lidem a jeden soubor, který míří na dva servery, je stále vázán na svého původního vlastníka. Profily uzamčené na server a profily s automatickým přihlášením mají zase jiné povolené modely použití: profil uzamčený na server očekává přihlašovací údaje v době připojení a profil s automatickým přihlášením výzvu k heslu záměrně přeskakuje. Žádný z nich se úpravou souboru nestane jiným typem.

Kontrola 4: ověřte, že zásada tento typ povoluje

Které typy profilů existují, je nastavení správce, nikoli předvolba klienta. Pokud portál nabízí jen stažení uzamčené na uživatele, server nemusí povolovat žádný jiný typ, nebo může povolovat typ, který skupina účtu nedostává. Požadovat po správci povolení jiného typu, aby se objevilo chybějící tlačítko, je změna zásady se skutečnými důsledky a odstranění vícefaktorového ověřování kvůli přístupu na stránku stahování vyměňuje ověřovací kontrolu za pohodlí.

V závislosti na verzi správcovské webové rozhraní také nabízí správu profilů pro uživatele, kde správce může profil vydat nebo odvolat, aniž by se přihlašoval jako daná osoba. Kde tato možnost chybí, stahuje si uživatel vlastní soubor. V obou případech je správným zdrojem zamýšlený účet, nikdy kopírovaný profil správce použitý jako šablona.

Kontrola 5: předejte soubor a potom jej udržujte odvolatelný

Berte stažení jako materiál přihlašovacích údajů, ne jako konfigurační soubor. Profil uzamčený na uživatele obsahuje soukromý klíč, takže by měl cestovat kanálem, který byste použili pro heslo, ne přes sdílenou složku na disku nebo chatovou skupinu. Zaznamenejte, který uživatel a které zařízení dostaly který soubor, protože odvolání je po účtech: když se notebook vymění nebo ztratí, správce odvolá přístup daného uživatele a vydá nový profil a starý soubor přestane fungovat při dalším pokusu o připojení.

Skončete čtyřmi kontrolami v tomto pořadí: přihlášení do portálu bylo zamýšleným uživatelem, soubor obsahuje identitu, ne jen adresu serveru, jedno testovací připojení ze zamýšleného klienta uspěje a druhé připojení s jiným účtem selže. Pokud čtvrté uspěje, distribuovali jste špatný soubor a dalším krokem je odvolání, ne úprava konfigurace. návod ke stažení Access Serveru ukazuje aktuální rozvržení portálu a rozdíl mezi profilem a předkonfigurovaným instalačním programem.