Sådan sammensætter du en OpenVPN-klientprofil af udleverede filer

Din operatør udleverer en CA-pakke, et klientcertifikat og dets nøgle, og klienten starter ikke, før de er samlet i én profil. Profilen er konfiguration: den peger på filerne, den indeholder dem ikke, og du kan ikke gøre den til et certifikat ved at redigere den. Gennemgangen starter på en allerede godkendt bærbar computer og slutter med en profil, du kan starte fra en kendt mappe. Den opretter ikke en CA, registrerer ikke et nyt certifikat og rører ikke serveren.

Målet her er en OpenVPN 2.6-kommandolinjeklient til Linux, rutet TUN over UDP, med certifikatautentificering.

Saml kun filerne på klientsiden

Arbejd i en beskyttet mappe, og saml det godkendte CA-tillidsmateriale, dit udleverede klientcertifikat og den private nøgle, der hører til. I dette eksempel er navnene ca.crt, laptop-a.crt og laptop-a.key. Filnavnene er kun etiketter; de siger intet om, hvad hver fil indeholder.

Hvis du genererede nøglen under tilmeldingen, forlod den aldrig maskinen; kun det signerede certifikat og den offentlige kæde skal komme tilbage fra udstederen. Kontroller, at certifikatet bærer den klientrolle, tjenesten forventer. Kontroller også, at nøglen hører til det certifikat og ikke til et tidligere fra et tidligere forsøg. Et par, der ikke passer sammen, giver en TLS-fejl meget senere, og den ligner et serverproblem.

Hold CA'ens private signeringsnøgle, serverens private nøgle og DH-parametrene ude af denne pakke.

Forbind filerne i en lille profil

Profilen nedenfor er med vilje kort. Hver linje vælger enten endepunktet, begrænser den identitet, klienten accepterer, eller peger på en af de tre filer.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Linjen remote vælger netværksendepunktet. remote-cert-tls server kræver, at modparten fremviser et certifikat med serverrollen. verify-x509-name fastlåser det forventede navn, her vpn-gateway som Common Name for servercertifikatet med OpenVPNs standardnavnefelt. Værdien udledes ikke af DNS-værtsnavnet, så brug det identitetsskema, operatøren har leveret.

Drop ikke disse kontroller, bare fordi et testendepunkt viser et andet certifikat.

Denne basisprofil forudsætter ingen særskilt kontoudfordring og ingen nøgle til kontrolkanalen. Hvis tjenesten kræver auth-user-pass, tls-auth eller tls-crypt, skal du beholde konfigurationen og materialet, du fik, for en hemmelighed til kontrolkanalen, som du selv genererer, vil ikke matche den, serveren har. Behold også tjenestens cipherpolitik i stedet for at importere komprimerings- eller cipherlinjer fra et gammelt eksempel.

Gør arbejdsbiblioteket eksplicit

Relative stier følger processens arbejdsbibliotek, ikke placeringen af .ovpn-filen.

Det overrasker folk, der flytter profilen til en ny mappe og forventer, at nøglen følger med. For en mappe, administratoren har valgt, skifter kommandoen nedenfor til en absolut sti, før den læser profilen og dens referencer.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

En importguide på skrivebordet eller en systemtjeneste kan pakke afhængighederne for dig og anvende sine egne regler. Den kan også bruge en anden arbejdsmappe end den, du testede i. Bekræft, hvordan din startmetode opløser stierne til nøgle, certifikat og CA. At flytte kun .ovpn-filen flytter ikke den separate private nøgle.

Hold nøglen læsbar kun for den tilsigtede bruger eller tjenesteidentitet.

Verificer overdragelsen, ikke filnavnene

Før den første autoriserede forbindelse skal du kontrollere endepunktet, certifikatets identitet, udstederen og gyldighedsvinduet. Bekræft derefter, at filreferencerne opløses fra det arbejdsbibliotek, du faktisk vil bruge. Efter forbindelsen skal du teste den applikations- og DNS-adfærd, som rutepolitikken skal levere. Tre læsbare filer beviser intet om serverautorisasjon eller om en brugbar ressourcesti.

Hvis der vises en anmodning om en adgangsfrase, hører den til den private nøgle, ikke til en VPN-konto.

Til sidst skal du registrere pakken som legitimationsmateriale. At give det samme certifikat og den samme nøgle til en anden computer kopierer identiteten, og at omdøbe filen giver dig ikke en ny tilmelding. Det er forskellen på at sammensætte en profil og at udstede en.