Download profil til OpenVPN Access Server: match kontoen

En brugerlåst Access Server-profil oprettes til én konto og afviser alle andre, så download-trinnet afgør, hvem filen tilhører, før nogen klientindstilling betyder noget. Rækkefølgen nedenfor er den, jeg giver til alle, der beder om »VPN-filen«: log ind som den person, der skal bruge den, find kontrollen til din serverversion, læs hvad filen er låst til, bekræft at politikken tillader den type, og overlad den derefter på en måde, hvor du stadig kan tilbagekalde den. Stop ved det første trin, der fejler; hvert senere trin forudsætter, at det foregående holdt.

Kontrol 1: log ind som kontoen, ikke som administratoren

Klientportalen er den almindelige brugergrænseflade, normalt på https://vpn.example:943/, mens administrationen ligger på https://vpn.example:943/admin. Det er standardeksempler; værtsnavne, porte og omvendte proxyer ændrer dem, så brug den adresse, din operatør gav dig. At logge ind på admin-stien først er den mest almindelige fejl, fordi admin-sessionen kan oprette og administrere konti, men ikke er den konto, der skal bære tunnelen.

Hvis personen endnu ikke kan logge ind, så stop her og ret det først: en nulstilling af adgangskoden, en manglende gruppetildeling eller en konto, der kun findes som en importeret godkendelsespost, blokerer downloadet, uanset hvilken browser du prøver. At downloade fra administratorens egen session giver administratorens profil, og det er netop den fil, der ikke må ende på en andens bærbare computer.

Kontrol 2: find download-kontrollen til din version

Når du er logget ind, viser portalen en forbindelsesprofil-kontrol nær toppen af siden. For Access Server 2.14 og nyere beskriver vejledningen den som afsnittet Forbindelsesprofil under »Download din profil nedenfor«. Hvor portalen også tilbyder en forudkonfigureret OpenVPN Connect-installation, er det to forskellige overdragelser: den ene installerer klienten med profilen allerede vedhæftet, den anden giver dig en fil, du kan importere i en klient, du allerede har.

Version betyder noget her. En ældre portal kan mærke den samme knap anderledes, og en stærkt tilpasset portal kan flytte den under en meddelelse. Hvis afsnittet helt mangler, så begynd ikke at gætte på URL'er: gå til politik-kontrollen i stedet for at eksperimentere med stier, fordi en manglende kontrol næsten altid er en beslutning på serversiden.

Kontrol 3: læs hvad filen er låst til

En brugerlåst profil bærer et indlejret klientcertifikat og en nøgle udstedt til én bruger, og serveren knytter den identitet til den konto. At omdøbe filen, redigere dens viste navn eller skrive andre loginoplysninger ved prompten ændrer ikke koblingen, og derfor fejler en kopieret profil for den anden person med en godkendelses- eller certifikatfejl i stedet for et routingproblem. Kig ind i filen, hvis du skal bekræfte, hvad du har:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Certifikatantallet fortæller dig, at en identitet er indlejret; linjerne remote navngiver kun serveren. To filer, der peger på den samme server, kan derfor tilhøre forskellige personer, og én fil, der peger på to servere, er stadig bundet til sin oprindelige ejer. Serverlåste profiler og auto-login-profiler har igen andre tilladte brugsmodeller: en serverlåst profil forventer loginoplysninger ved forbindelsestidspunktet, og en auto-login-profil springer adgangskodeprompten over efter design. Ingen af dem bliver en anden type ved at redigere filen.

Kontrol 4: bekræft, at politikken tillader den type

Hvilke profiltyper der findes, er en administratorindstilling, ikke en klientpræference. Hvis portalen kun tilbyder et brugerlåst download, tillader serveren måske ingen anden type, eller tillader en, som kontoens gruppe ikke modtager. At bede administratoren om at aktivere en anden type, så en manglende knap dukker op, er en politikændring med reelle konsekvenser, og at fjerne multifaktor-godkendelse for at nå en download-side bytter en godkendelseskontrol for bekvemmelighed.

Afhængigt af versionen viser Admin Web UI også profiladministration for en bruger, hvor en administrator kan udstede eller tilbagekalde en profil uden at logge ind som den person. Hvor den mulighed mangler, downloader brugeren sin egen fil. Uanset hvad er den korrekte kilde den tilsigtede konto, aldrig en kopieret administratorprofil behandlet som skabelon.

Kontrol 5: overdrag filen, og hold den derefter tilbagekaldelig

Behandl downloadet som legitimationsmateriale snarere end som en konfigurationsfil. En brugerlåst profil indeholder en privat nøgle, så den bør rejse over en kanal, du ville bruge til en adgangskode, ikke gennem en delt drevmappe eller en chatgruppe. Noter, hvilken bruger og enhed der modtog hvilken fil, fordi tilbagekaldelse sker per konto: når en bærbar computer udskiftes eller mistes, tilbagekalder administratoren den brugers adgang og udsteder en ny profil, og den gamle fil holder op med at virke ved næste forbindelsesforsøg.

Afslut med fire kontroller i denne rækkefølge: portal-login var den tilsigtede bruger, filen indeholder en identitet og ikke kun en serveradresse, én testforbindelse fra den tilsigtede klient lykkes, og en anden forbindelse med en anden konto mislykkes. Hvis den fjerde lykkes, har du distribueret den forkerte fil, og tilbagekaldelse er det næste skridt i stedet for en konfigurationsredigering. Access Server-downloadvejledningen viser portalens nuværende layout og forskellen mellem en profil og et forudkonfigureret installationsprogram.