OpenVPN Access Server: Profil-Download für das richtige Konto

Ein benutzergebundenes Access-Server-Profil wird für genau ein Konto erzeugt und weist jedes andere zurück, deshalb entscheidet der Download-Schritt, wem die Datei gehört, bevor irgendeine Client-Einstellung zählt. Die Reihenfolge unten ist die, die ich jedem gebe, der nach „der VPN-Datei“ fragt: melden Sie sich als die Person an, die sie nutzen wird, suchen Sie das Bedienelement für Ihre Serverversion, lesen Sie, woran die Datei gebunden ist, prüfen Sie, ob die Richtlinie diesen Typ erlaubt, und übergeben Sie sie dann so, dass Sie sie noch widerrufen können. Halten Sie beim ersten Schritt an, der scheitert; jeder spätere Schritt setzt voraus, dass der frühere gehalten hat.

Prüfung 1: als Konto anmelden, nicht als Administrator

Das Client-Portal ist die normale Benutzeroberfläche, üblicherweise unter https://vpn.example:943/, während die Administration unter https://vpn.example:943/admin liegt. Das sind Standardbeispiele; Hostnamen, Ports und Reverse-Proxys ändern sie, verwenden Sie also die Adresse, die Ihnen Ihr Betreiber gegeben hat. Zuerst den Admin-Pfad anzumelden ist der häufigste Fehltritt, denn die Admin-Sitzung kann Konten anlegen und verwalten, ist aber nicht das Konto, das den Tunnel tragen wird.

Kann sich die Person noch nicht anmelden, halten Sie hier an und beheben das zuerst: ein Passwort-Reset, eine fehlende Gruppenzuweisung oder ein Konto, das nur als importierter Authentifizierungseintrag existiert, blockieren den Download, egal welchen Browser Sie versuchen. Der Download aus der Administrator-Sitzung selbst erzeugt das Administratorprofil, und genau diese Datei darf nicht auf dem Laptop einer anderen Person landen.

Prüfung 2: das Download-Bedienelement für Ihre Version finden

Nach der Anmeldung zeigt das Portal ein Bedienelement für das Verbindungsprofil nahe dem oberen Seitenrand. Für Access Server 2.14 und neuer beschreibt es die Anleitung als Abschnitt Verbindungsprofil unter „Laden Sie Ihr Profil unten herunter“. Bietet das Portal zusätzlich einen vorkonfigurierten OpenVPN-Connect-Installer, sind das zwei verschiedene Übergaben: der eine installiert den Client mit bereits angehängtem Profil, der andere gibt Ihnen eine Datei zum Import in einen Client, den Sie schon haben.

Die Version zählt hier. Ein älteres Portal beschriftet dieselbe Schaltfläche anders, und ein stark angepasstes Portal kann sie unter einen Hinweis verschieben. Fehlt der Abschnitt ganz, beginnen Sie nicht, URLs zu raten: wechseln Sie zur Richtlinienprüfung statt mit Pfaden zu experimentieren, denn ein fehlendes Bedienelement ist fast immer eine Entscheidung auf Serverseite.

Prüfung 3: lesen, woran die Datei gebunden ist

Ein benutzergebundenes Profil enthält ein eingebettetes Client-Zertifikat und einen Schlüssel für einen Benutzer, und der Server ordnet diese Identität dem Konto zu. Umbenennen der Datei, Ändern des Anzeigenamens oder Eingabe anderer Anmeldedaten an der Eingabeaufforderung ändern die Zuordnung nicht, weshalb ein kopiertes Profil bei der zweiten Person mit einem Authentifizierungs- oder Zertifikatsfehler scheitert und nicht mit einem Routingproblem. Sehen Sie in die Datei, wenn Sie bestätigen müssen, was Sie haben:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Die Zertifikatsanzahl sagt Ihnen, dass eine Identität eingebettet ist; die Zeilen remote nennen nur den Server. Zwei Dateien, die auf denselben Server zeigen, können also zu verschiedenen Personen gehören, und eine Datei, die auf zwei Server zeigt, bleibt an ihren ursprünglichen Besitzer gebunden. Servergebundene Profile und Auto-Login-Profile haben wieder andere erlaubte Nutzungsmodelle: ein servergebundenes Profil erwartet Anmeldedaten beim Verbinden, und ein Auto-Login-Profil überspringt die Passwortabfrage konstruktionsbedingt. Keines von ihnen wird durch Bearbeiten der Datei ein anderer Typ.

Prüfung 4: prüfen, ob die Richtlinie diesen Typ erlaubt

Welche Profiltypen es gibt, ist eine Administrator-Einstellung, keine Client-Vorliebe. Bietet das Portal nur einen benutzergebundenen Download, erlaubt der Server vielleicht keinen anderen Typ oder einen, den die Gruppe des Kontos nicht erhält. Den Administrator zu bitten, einen anderen Typ zu aktivieren, damit eine fehlende Schaltfläche erscheint, ist eine Richtlinienänderung mit echten Folgen, und Multi-Faktor-Authentifizierung zu entfernen, um eine Download-Seite zu erreichen, tauscht eine Authentifizierungskontrolle gegen Bequemlichkeit.

Je nach Version bietet die Admin-Web-UI auch Profilverwaltung für einen Benutzer, wo ein Administrator ein Profil ausstellen oder widerrufen kann, ohne sich als diese Person anzumelden. Wo diese Möglichkeit fehlt, lädt der Benutzer seine eigene Datei herunter. So oder so ist die richtige Quelle das vorgesehene Konto, nie ein kopiertes Administratorprofil als Vorlage.

Prüfung 5: übergeben und danach widerrufbar halten

Behandeln Sie den Download als Anmeldedaten-Material und nicht als Konfigurationsdatei. Ein benutzergebundenes Profil enthält einen privaten Schlüssel, deshalb sollte es über einen Kanal reisen, den Sie für ein Passwort nutzen würden, nicht über einen geteilten Laufwerksordner oder eine Chat-Gruppe. Halten Sie fest, welcher Benutzer und welches Gerät welche Datei erhalten hat, denn der Widerruf erfolgt pro Konto: Wird ein Laptop ersetzt oder geht verloren, widerruft der Administrator den Zugang dieses Benutzers und stellt ein neues Profil aus, und die alte Datei funktioniert beim nächsten Verbindungsversuch nicht mehr.

Schließen Sie mit vier Prüfungen in dieser Reihenfolge ab: die Portal-Anmeldung war der vorgesehene Benutzer, die Datei enthält eine Identität und nicht nur eine Serveradresse, eine Testverbindung vom vorgesehenen Client gelingt, und eine zweite Verbindung mit einem anderen Konto scheitert. Gelingt die vierte, haben Sie die falsche Datei verteilt, und der Widerruf ist der nächste Schritt statt einer Konfigurationsänderung. Die Access-Server-Download-Anleitung zeigt das aktuelle Portal-Layout und den Unterschied zwischen einem Profil und einem vorkonfigurierten Installer.