Lawrlwytho proffil OpenVPN Access Server: cydweddu â’r cyfrif

Mae proffil Access Server wedi’i gloi i ddefnyddiwr yn cael ei greu ar gyfer un cyfrif ac yn gwrthod pob un arall, felly mae cam y lawrlwytho yn penderfynu i bwy mae’r ffeil yn perthyn cyn i unrhyw osodiad cleient fod o bwys. Y drefn isod yw’r un yr wyf yn ei rhoi i bawb sy’n gofyn am “y ffeil VPN”: mewngofnodwch fel y person a fydd yn ei defnyddio, darganfyddwch y rheolydd ar gyfer fersiwn eich gweinydd, darllenwch beth y mae’r ffeil wedi’i gloi iddo, cadarnhewch fod y polisi yn caniatáu’r math hwnnw, yna ei drosglwyddo mewn ffordd y gallwch ei ddirymu o hyd. Stopiwch ar y cam cyntaf sy’n methu; mae pob cam diweddarach yn tybio bod y cyntaf wedi dal.

Gwirio 1: mewngofnodwch fel y cyfrif, nid fel y gweinyddwr

Porth y cleient yw’r rhyngwyneb defnyddiwr cyffredin, fel arfer yn https://vpn.example:943/, tra bo’r weinyddiaeth yn https://vpn.example:943/admin. Enghreifftiau diofyn yw’r rhain; mae enwau gwesteiwyr, porthladdoedd a dirprwyon gwrthdro yn eu newid, felly defnyddiwch y cyfeiriad a roddodd eich gweithredwr i chi. Mewngofnodi i lwybr y gweinyddwr yn gyntaf yw’r cam anghywir mwyaf cyffredin, oherwydd gall sesiwn y gweinyddwr greu a rheoli cyfrifon ond nid hi yw’r cyfrif a fydd yn cario’r twnnel.

Os na all y person fewngofnodi eto, stopiwch yma a thrwsiwch hynny’n gyntaf: bydd ailosodiad cyfrinair, neilltuo grŵp ar goll neu gyfrif sy’n bodoli dim ond fel cofnod dilysu wedi’i fewnforio yn rhwystro’r lawrlwytho waeth pa borwr y byddwch yn ei roi cynnig arno. Mae lawrlwytho o sesiwn y gweinyddwr ei hun yn cynhyrchu proffil y gweinyddwr, a dyna’n union y ffeil na ddylai fod ar liniadur rhywun arall.

Gwirio 2: darganfyddwch y rheolydd lawrlwytho ar gyfer eich fersiwn

Ar ôl mewngofnodi, mae’r porth yn dangos rheolydd proffil cysylltiad ger pen uchaf y dudalen. Ar gyfer Access Server 2.14 a mwy newydd, mae’r tiwtorial yn ei ddisgrifio fel adran Proffil Cysylltiad o dan “Lawrlwythwch eich proffil isod”. Lle mae’r porth hefyd yn cynnig gosodwr OpenVPN Connect wedi’i ragffurfweddu, mae’r rheini’n ddau drosglwyddiad gwahanol: mae un yn gosod y cleient gyda’r proffil eisoes ynghlwm, ac mae’r llall yn rhoi ffeil i chi i’w mewngludo mewn cleient sydd gennych yn barod.

Mae fersiwn yn bwysig yma. Gall porth hŷn labelu’r un botwm yn wahanol, a gall porth sydd wedi’i addasu’n drwm ei symud o dan hysbysiad. Os yw’r adran yn hollol absennol, peidiwch â dechrau dyfalu URLau: ewch i’r gwirio polisi yn hytrach na harbrofi â llwybrau, oherwydd mae rheolydd ar goll bron bob amser yn benderfyniad ar ochr y gweinydd.

Gwirio 3: darllenwch beth y mae’r ffeil wedi’i gloi iddo

Mae proffil wedi’i gloi i ddefnyddiwr yn cario tystysgrif cleient ac allwedd wedi’u gwreiddio ar gyfer un defnyddiwr, ac mae’r gweinydd yn mapio’r hunaniaeth honno i’r cyfrif hwnnw. Nid yw ailenwi’r ffeil, golygu ei henw arddangos na theipio manylion mewngofnodi gwahanol wrth yr anogwr yn newid y mapio, a dyna pam mae proffil wedi’i gopïo yn methu i’r ail berson gyda gwall dilysu neu dystysgrif yn hytrach na phroblem llwybro. Edrychwch y tu mewn i’r ffeil os oes angen cadarnhau beth sydd gennych:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Mae cyfrif y tystysgrifau’n dweud wrthych fod hunaniaeth wedi’i gwreiddio; mae’r llinellau remote yn enwi’r gweinydd yn unig. Gall dwy ffeil sy’n cyfeirio at yr un gweinydd felly berthyn i bobl wahanol, ac mae un ffeil sy’n cyfeirio at ddau weinydd yn dal ynghlwm wrth ei pherchennog gwreiddiol. Mae gan broffiliau wedi’u cloi i weinydd a phroffiliau mewngofnodi awtomatig fodelau defnydd a ganiateir gwahanol eto: mae proffil wedi’i gloi i weinydd yn disgwyl manylion mewngofnodi ar adeg cysylltu, ac mae proffil mewngofnodi awtomatig yn hepgor yr anogwr cyfrinair yn ôl ei ddyluniad. Nid yw’r un ohonynt yn dod yn fath arall drwy olygu’r ffeil.

Gwirio 4: cadarnhewch fod y polisi’n caniatáu’r math hwnnw

Mae pa fathau o broffil sy’n bodoli yn osodiad gweinyddwr, nid yn ddewis cleient. Os mai dim ond lawrlwytho wedi’i gloi i ddefnyddiwr y mae’r porth yn ei gynnig, efallai nad yw’r gweinydd yn caniatáu unrhyw fath arall, neu gall ganiatáu un nad yw grŵp y cyfrif yn ei dderbyn. Mae gofyn i’r gweinyddwr alluogi math gwahanol er mwyn i fotwm sydd ar goll ymddangos yn newid polisi â chanlyniadau real, ac mae dileu dilysu aml-ffactor i gyrraedd tudalen lawrlwytho yn cyfnewid rheolydd dilysu am gyfleustra.

Yn dibynnu ar y fersiwn, mae’r rhyngwyneb gweinyddol hefyd yn cynnig rheoli proffil ar gyfer defnyddiwr, lle gall gweinyddwr gyhoeddi neu ddirymu proffil heb fewngofnodi fel y person hwnnw. Lle nad yw’r gallu hwnnw’n bod, mae’r defnyddiwr yn lawrlwytho ei ffeil ei hun. Naill ffordd neu’r llall, y ffynhonnell gywir yw’r cyfrif a fwriadwyd, byth yn broffil gweinyddwr wedi’i gopïo a drinnir fel templed.

Gwirio 5: trosglwyddwch, yna cadwch ef yn ddirymadwy

Triniwch y lawrlwytho fel deunydd manylion mewngofnodi yn hytrach nag fel ffeil ffurfweddu. Mae proffil wedi’i gloi i ddefnyddiwr yn cynnwys allwedd breifat, felly dylai deithio dros sianel y byddech yn ei defnyddio ar gyfer cyfrinair, nid drwy ffolder gyriant a rennir na grŵp sgwrsio. Cofnodwch pa ddefnyddiwr a pha ddyfais a gafodd pa ffeil, oherwydd mae dirymu ar sail cyfrif: pan fydd liniadur yn cael ei ddisodli neu’n cael ei golli, mae’r gweinyddwr yn dirymu mynediad y defnyddiwr hwnnw ac yn cyhoeddi proffil newydd, ac mae’r hen ffeil yn stopio gweithio ar y cynnig cysylltu nesaf.

Gorffennwch â phedwar gwirio yn y drefn hon: mewngofnodi’r porth oedd y defnyddiwr a fwriadwyd, mae’r ffeil yn cynnwys hunaniaeth ac nid cyfeiriad gweinydd yn unig, mae un cysylltiad prawf o’r cleient a fwriadwyd yn llwyddo, ac mae ail gysylltiad gan ddefnyddio cyfrif arall yn methu. Os yw’r pedwerydd yn llwyddo, gwnaethoch ddosbarthu’r ffeil anghywir, a dirymu yw’r cam nesaf yn hytrach na golygu’r ffurfweddiad. Y tiwtorial lawrlwytho Access Server yn dangos cynllun presennol y porth a’r gwahaniaeth rhwng proffil a gosodwr wedi’i ragffurfweddu.