Πώς να συναρμολογήσετε προφίλ πελάτη OpenVPN από τα εκδοθέντα αρχεία

Ο διαχειριστής σας παραδίδει ένα πακέτο CA, ένα πιστοποιητικό πελάτη και το κλειδί του, και ο πελάτης δεν θα ξεκινήσει αν δεν συνδεθούν σε ένα προφίλ. Το προφίλ είναι διαμόρφωση: δείχνει σε αυτά τα αρχεία, δεν τα περιέχει, και η επεξεργασία του δεν μπορεί να το μετατρέψει σε πιστοποιητικό. Η περιήγηση ξεκινά από φορητό υπολογιστή που έχει ήδη εγκριθεί και τελειώνει με προφίλ που μπορείτε να εκκινήσετε από γνωστό κατάλογο. Δεν δημιουργεί CA, δεν καταχωρεί νέο πιστοποιητικό και δεν αγγίζει τον διακομιστή.

Ο στόχος εδώ είναι πελάτης γραμμής εντολών OpenVPN 2.6 για Linux, με δρομολόγηση TUN πάνω από UDP, με έλεγχο ταυτότητας πιστοποιητικού.

Συλλέξτε μόνο τα αρχεία της πλευράς πελάτη

Εργαστείτε σε προστατευμένο κατάλογο και συγκεντρώστε το εγκεκριμένο υλικό εμπιστοσύνης CA, το εκδοθέν πιστοποιητικό πελάτη σας και το ιδιωτικό κλειδί που του αντιστοιχεί. Σε αυτό το παράδειγμα τα ονόματα είναι ca.crt, laptop-a.crt και laptop-a.key. Τα ονόματα αρχείων είναι μόνο ετικέτες· δεν λένε τίποτα για το τι περιέχει κάθε αρχείο.

Αν δημιουργήσατε το κλειδί κατά την εγγραφή, δεν έφυγε ποτέ από το μηχάνημα· από τον εκδότη πρέπει να επιστρέψουν μόνο το υπογεγραμμένο πιστοποιητικό και η δημόσια αλυσίδα. Ελέγξτε ότι το πιστοποιητικό φέρει τον ρόλο πελάτη που περιμένει η υπηρεσία. Ελέγξτε επίσης ότι το κλειδί ανήκει σε αυτό το πιστοποιητικό και όχι σε προγενέστερο από προηγούμενη προσπάθεια. Ένα ζεύγος που δεν ταιριάζει παράγει αποτυχία TLS πολύ αργότερα, που μοιάζει με πρόβλημα διακομιστή.

Κρατήστε το ιδιωτικό κλειδί υπογραφής του CA, το ιδιωτικό κλειδί του διακομιστή και τις παραμέτρους DH έξω από αυτό το πακέτο.

Συνδέστε τα αρχεία σε ένα μικρό προφίλ

Το παρακάτω προφίλ είναι σκόπιμα σύντομο. Κάθε γραμμή είτε επιλέγει το τελικό σημείο, είτε περιορίζει την ταυτότητα που θα δεχτεί ο πελάτης, είτε δείχνει σε ένα από τα τρία αρχεία.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Η γραμμή remote επιλέγει το τελικό σημείο δικτύου. Το remote-cert-tls server απαιτεί ο ομότιμος να παρουσιάσει πιστοποιητικό με ρόλο διακομιστή. Το verify-x509-name καρφώνει το αναμενόμενο όνομα, εδώ το vpn-gateway ως Common Name του πιστοποιητικού του διακομιστή με το προεπιλεγμένο πεδίο ονόματος του OpenVPN. Η τιμή αυτή δεν συνάγεται από το όνομα κεντρικού υπολογιστή DNS, γι' αυτό χρησιμοποιήστε όποιο σχήμα ταυτότητας έδωσε ο διαχειριστής.

Μην αφαιρέσετε αυτούς τους ελέγχους μόνο επειδή ένα τελικό σημείο δοκιμής δείχνει διαφορετικό πιστοποιητικό.

Αυτό το βασικό προφίλ υποθέτει ότι δεν υπάρχει χωριστή πρόκληση λογαριασμού και κανένα κλειδί καναλιού ελέγχου. Αν η υπηρεσία χρειάζεται auth-user-pass, tls-auth ή tls-crypt, κρατήστε τη διαμόρφωση και το υλικό που σας δόθηκε, γιατί ένα μυστικό καναλιού ελέγχου που δημιουργείτε μόνοι σας δεν θα ταιριάξει με αυτό που κρατά ο διακομιστής. Κρατήστε και την πολιτική κρυπτογράφησης της υπηρεσίας αντί να εισάγετε γραμμές συμπίεσης ή κρυπτογράφησης από παλιό παράδειγμα.

Κάντε τον κατάλογο εργασίας ρητό

Οι σχετικές διαδρομές ακολουθούν τον κατάλογο εργασίας της διεργασίας, όχι τη θέση του αρχείου .ovpn.

Αυτό εκπλήσσει όσους μετακινούν το προφίλ σε νέο φάκελο και περιμένουν το κλειδί να το ακολουθήσει. Για κατάλογο που επιλέγει ο διαχειριστής, η παρακάτω εντολή μεταβαίνει σε απόλυτη διαδρομή πριν διαβάσει το προφίλ και τις αναφορές του.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Ένας οδηγός εισαγωγής επιφάνειας εργασίας ή μια υπηρεσία συστήματος μπορεί να πακετάρει τις εξαρτήσεις για εσάς και να εφαρμόσει δικούς του κανόνες. Μπορεί επίσης να χρησιμοποιήσει διαφορετικό κατάλογο εργασίας από αυτόν στον οποίο δοκιμάσατε. Επιβεβαιώστε πώς η μέθοδος εκκίνησής σας επιλύει τις διαδρομές κλειδιού, πιστοποιητικού και CA. Η μετακίνηση μόνο του αρχείου .ovpn δεν μετακινεί το χωριστό ιδιωτικό κλειδί.

Κρατήστε το κλειδί αναγνώσιμο μόνο από τον προοριζόμενο χρήστη ή την ταυτότητα υπηρεσίας.

Επαληθεύστε την παράδοση, όχι τα ονόματα αρχείων

Πριν από την πρώτη εξουσιοδοτημένη σύνδεση, ελέγξτε το τελικό σημείο, την ταυτότητα του πιστοποιητικού, τον εκδότη και το παράθυρο ισχύος. Στη συνέχεια επιβεβαιώστε ότι οι αναφορές αρχείων επιλύονται από τον κατάλογο εργασίας που θα χρησιμοποιήσετε πραγματικά. Μετά τη σύνδεση, δοκιμάστε τη συμπεριφορά εφαρμογής και DNS που υποτίθεται ότι παρέχει η πολιτική δρομολόγησης. Τρία αναγνώσιμα αρχεία δεν αποδεικνύουν τίποτα για την εξουσιοδότηση του διακομιστή ούτε για μια χρησιμοποιήσιμη διαδρομή πόρου.

Αν εμφανιστεί προτροπή φράσης πρόσβασης, ανήκει στο ιδιωτικό κλειδί, όχι σε λογαριασμό VPN.

Τέλος, καταγράψτε το πακέτο ως υλικό διαπιστευτηρίων. Η παράδοση του ίδιου πιστοποιητικού και κλειδιού σε δεύτερο φορητό υπολογιστή αντιγράφει την ταυτότητα, και η μετονομασία του αρχείου δεν σας δίνει δεύτερη εγγραφή. Αυτή είναι η διαφορά ανάμεσα στη συναρμολόγηση ενός προφίλ και στην έκδοσή του.