Sut i gydosod proffil cleient OpenVPN o ffeiliau a gyhoeddwyd

Mae eich gweithredwr yn trosglwyddo pecyn CA, tystysgrif cleient a'i hallwedd, ac ni fydd y cleient yn cychwyn nes bod y rhain wedi'u gwifro i un proffil. Ffurfweddiad yw'r proffil: mae'n pwyntio at y ffeiliau hynny, nid yw'n eu cynnwys, ac ni all ei olygu ei droi'n dystysgrif. Mae'r daith yn dechrau o liniadur a gymeradwywyd yn barod ac yn gorffen gyda phroffil y gallwch ei gychwyn o gyfeiriadur hysbys. Nid yw'n creu CA, nid yw'n cofrestru tystysgrif newydd ac nid yw'n cyffwrdd â'r gweinydd.

Y targed yma yw cleient llinell orchymyn OpenVPN 2.6 ar Linux, wedi'i lwybro â TUN dros UDP, gyda dilysu tystysgrif.

Casglwch ffeiliau ochr y cleient yn unig

Gweithiwch mewn cyfeiriadur gwarchodedig a chasglwch y deunydd ymddiriedaeth CA a gymeradwywyd, eich tystysgrif cleient a gyhoeddwyd, a'r allwedd breifat sy'n cyd-fynd â hi. Yn yr enghraifft hon yr enwau yw ca.crt, laptop-a.crt a laptop-a.key. Labeli yn unig yw enwau ffeiliau; nid ydynt yn dweud dim am yr hyn sydd ym mhob ffeil.

Os gwnaethoch gynhyrchu'r allwedd yn ystod y cofrestru, ni adawodd y peiriant erioed; dim ond y dystysgrif lofnodwyd a'r gadwyn gyhoeddus sydd angen dod yn ôl o'r cyhoeddwr. Gwiriwch fod y dystysgrif yn cario'r rôl cleient y mae'r gwasanaeth yn ei disgwyl. Gwirwch hefyd fod yr allwedd yn perthyn i'r dystysgrif honno ac nid i un gynharach o ymgais flaenorol. Mae pâr nad yw'n cyfateb yn cynhyrchu methiant TLS lawer yn ddiweddarach, un sy'n edrych fel problem gweinydd.

Gadewch allwedd lofnodi breifat y CA, allwedd breifat y gweinydd a'r paramedrau DH y tu allan i'r pecyn hwn.

Gwnewch y ffeiliau yn broffil bach

Mae'r proffil isod yn fyr yn fwriadol. Mae pob llinell naill ai'n dewis y pwynt terfyn, yn cyfyngu'r hunaniaeth y bydd y cleient yn ei derbyn, neu'n pwyntio at un o'r tri ffeil.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Mae llinell remote yn dewis y pwynt terfyn rhwydwaith. Mae remote-cert-tls server yn mynnu bod y cymar yn cyflwyno tystysgrif â rôl gweinydd. Mae verify-x509-name yn pinio'r enw disgwyliedig, yma vpn-gateway fel Common Name tystysgrif y gweinydd gyda maes enw rhagosodedig OpenVPN. Nid yw'r gwerth hwnnw'n cael ei ddyfalu o enw gwesteiwr DNS, felly defnyddiwch ba bynnag gynllun hunaniaeth a ddarparwyd gan y gweithredwr.

Peidiwch â gollwng y gwiriadau hynny dim ond oherwydd bod pwynt terfyn prawf yn dangos tystysgrif wahanol.

Mae'r proffil sylfaen hwn yn tybio nad oes her cyfrif ar wahân ac nad oes allwedd sianel reoli. Os oes angen auth-user-pass, tls-auth neu tls-crypt ar y gwasanaeth, cadwch y ffurfweddiad a'r deunydd a roddwyd i chi, oherwydd ni fydd cyfrinach sianel reoli a gynhyrchwch eich hun yn cyfateb i'r un sydd gan y gweinydd. Cadwch bolisi seiffr y gwasanaeth hefyd yn lle mewnforio llinellau cywasgu neu seiffr o hen enghraifft.

Gwnewch y cyfeiriadur gwaith yn eglur

Mae llwybrau cymharol yn dilyn cyfeiriadur gwaith y broses, nid lleoliad y ffeil .ovpn.

Mae hyn yn synnu pobl sy'n symud y proffil i ffolder newydd ac yn disgwyl i'r allwedd ei ddilyn. Ar gyfer cyfeiriadur a ddewiswyd gan weinyddwr, mae'r gorchymyn isod yn newid i lwybr absoliwt cyn darllen y proffil a'i gyfeiriadau.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Gall dewin mewnforio penbwrdd neu wasanaeth system becynnu'r dibyniaethau drosoch a chymhwyso rheolau ei hun. Gall hefyd ddefnyddio cyfeiriadur gwaith gwahanol i'r un y gwnaethoch brofi ynddo. Cadarnhewch sut mae eich dull lansio yn datrys llwybrau'r allwedd, y dystysgrif a'r CA. Nid yw symud y ffeil .ovpn yn unig yn symud yr allwedd breifat ar wahân.

Cadwch yr allwedd yn ddarllenadwy yn unig i'r defnyddiwr neu'r hunaniaeth gwasanaeth a fwriadwyd.

Gwiriwch y trosglwyddiad, nid enwau'r ffeiliau

Cyn y cysylltiad awdurdodedig cyntaf, gwiriwch y pwynt terfyn, hunaniaeth y dystysgrif, y cyhoeddwr a'r ffenestr ddilysrwydd. Yna cadarnhewch fod cyfeiriadau'r ffeiliau'n datrys o'r cyfeiriadur gwaith y byddwch yn ei ddefnyddio mewn gwirionedd. Ar ôl cysylltu, profwch ymddygiad y cymhwysiad a DNS y dylai'r polisi llwybro ei ddarparu. Nid yw tair ffeil ddarllenadwy yn profi dim am awdurdodiad gweinydd nac am lwybr adnodd y gellir ei ddefnyddio.

Os ymddengys anogiad ymadrodd cyfrinair, mae'n perthyn i'r allwedd breifat, nid i gyfrif VPN.

Yn olaf, rhestrwch y pecyn fel deunydd cymwysterau. Mae trosglwyddo'r un dystysgrif a'r un allwedd i ail liniadur yn copïo'r hunaniaeth, ac nid yw ailenwi'r ffeil yn rhoi ail gofrestriad i chi. Dyna'r gwahaniaeth rhwng cydosod proffil a'i gyhoeddi.