Λήψη προφίλ OpenVPN Access Server: ο σωστός λογαριασμός

Ένα προφίλ Access Server κλειδωμένο σε χρήστη δημιουργείται για έναν λογαριασμό και απορρίπτει κάθε άλλον, επομένως το βήμα λήψης καθορίζει σε ποιον ανήκει το αρχείο πριν έχει σημασία οποιαδήποτε ρύθμιση πελάτη. Η παρακάτω σειρά είναι αυτή που δίνω σε όποιον ζητά «το αρχείο VPN»: συνδεθείτε ως το πρόσωπο που θα το χρησιμοποιήσει, βρείτε το στοιχείο ελέγχου για την έκδοση του διακομιστή σας, διαβάστε σε τι είναι κλειδωμένο το αρχείο, επιβεβαιώστε ότι η πολιτική επιτρέπει αυτόν τον τύπο και μετά παραδώστε το με τρόπο που μπορείτε ακόμη να ανακαλέσετε. Σταματήστε στο πρώτο βήμα που αποτυγχάνει· κάθε επόμενο βήμα προϋποθέτει ότι το προηγούμενο ίσχυσε.

Έλεγχος 1: συνδεθείτε ως ο λογαριασμός, όχι ως ο διαχειριστής

Η πύλη πελάτη είναι η συνήθης διεπαφή χρήστη, συνήθως στη διεύθυνση https://vpn.example:943/, ενώ η διαχείριση βρίσκεται στη διεύθυνση https://vpn.example:943/admin. Αυτά είναι προεπιλεγμένα παραδείγματα· τα ονόματα κεντρικών υπολογιστών, οι θύρες και οι αντίστροφοι διαμεσολαβητές τα αλλάζουν, γι' αυτό χρησιμοποιήστε τη διεύθυνση που σας έδωσε ο πάροχός σας. Η σύνδεση πρώτα στη διαδρομή διαχειριστή είναι το συνηθέστερο λάθος, γιατί η συνεδρία διαχειριστή μπορεί να δημιουργεί και να διαχειρίζεται λογαριασμούς αλλά δεν είναι ο λογαριασμός που θα μεταφέρει το τούνελ.

Αν το πρόσωπο δεν μπορεί ακόμη να συνδεθεί, σταματήστε εδώ και διορθώστε το πρώτα: μια επαναφορά κωδικού, μια ανάθεση ομάδας που λείπει ή ένας λογαριασμός που υπάρχει μόνο ως εισαγόμενη εγγραφή ελέγχου ταυτότητας θα μπλοκάρουν τη λήψη ανεξάρτητα από το πρόγραμμα περιήγησης που θα δοκιμάσετε. Η λήψη από τη συνεδρία του ίδιου του διαχειριστή παράγει το προφίλ του διαχειριστή, και αυτό είναι ακριβώς το αρχείο που δεν πρέπει να καταλήξει στον φορητό υπολογιστή κάποιου άλλου.

Έλεγχος 2: βρείτε το στοιχείο ελέγχου λήψης για την έκδοσή σας

Αφού συνδεθείτε, η πύλη εμφανίζει ένα στοιχείο ελέγχου προφίλ σύνδεσης κοντά στο πάνω μέρος της σελίδας. Για το Access Server 2.14 και νεότερο, το σεμινάριο το περιγράφει ως ενότητα Προφίλ σύνδεσης κάτω από το «Κατεβάστε το προφίλ σας παρακάτω». Όπου η πύλη προσφέρει επίσης προρυθμισμένο πρόγραμμα εγκατάστασης OpenVPN Connect, πρόκειται για δύο διαφορετικές παραδόσεις: το ένα εγκαθιστά τον πελάτη με το προφίλ ήδη συνημμένο, το άλλο σας δίνει ένα αρχείο για εισαγωγή σε πελάτη που έχετε ήδη.

Η έκδοση μετράει εδώ. Μια παλαιότερη πύλη μπορεί να επισημάνει το ίδιο κουμπί διαφορετικά, και μια έντονα προσαρμοσμένη πύλη μπορεί να το μετακινήσει κάτω από μια ειδοποίηση. Αν η ενότητα απουσιάζει εντελώς, μην αρχίσετε να μαντεύετε διευθύνσεις URL: προχωρήστε στον έλεγχο πολιτικής αντί να πειραματίζεστε με διαδρομές, γιατί ένα στοιχείο ελέγχου που λείπει είναι σχεδόν πάντα απόφαση στην πλευρά του διακομιστή.

Έλεγχος 3: διαβάστε σε τι είναι κλειδωμένο το αρχείο

Ένα προφίλ κλειδωμένο σε χρήστη φέρει ενσωματωμένο πιστοποιητικό πελάτη και κλειδί που εκδόθηκαν για έναν χρήστη, και ο διακομιστής αντιστοιχίζει αυτή την ταυτότητα σε εκείνον τον λογαριασμό. Η μετονομασία του αρχείου, η επεξεργασία του εμφανιζόμενου ονόματος ή η πληκτρολόγηση διαφορετικών διαπιστευτηρίων στην προτροπή δεν αλλάζουν την αντιστοίχιση, γι' αυτό ένα αντιγραμμένο προφίλ αποτυγχάνει στο δεύτερο πρόσωπο με σφάλμα ελέγχου ταυτότητας ή πιστοποιητικού και όχι με πρόβλημα δρομολόγησης. Κοιτάξτε μέσα στο αρχείο αν χρειάζεται να επιβεβαιώσετε τι έχετε:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Ο αριθμός πιστοποιητικών σας λέει ότι υπάρχει ενσωματωμένη ταυτότητα· οι γραμμές remote ονομάζουν μόνο τον διακομιστή. Δύο αρχεία που δείχνουν στον ίδιο διακομιστή μπορούν επομένως να ανήκουν σε διαφορετικά πρόσωπα, και ένα αρχείο που δείχνει σε δύο διακομιστές παραμένει δεσμευμένο στον αρχικό του κάτοχο. Τα προφίλ κλειδωμένα σε διακομιστή και τα προφίλ αυτόματης σύνδεσης έχουν ξανά διαφορετικά επιτρεπόμενα μοντέλα χρήσης: ένα προφίλ κλειδωμένο σε διακομιστή περιμένει διαπιστευτήρια κατά τη σύνδεση, και ένα προφίλ αυτόματης σύνδεσης παρακάμπτει την προτροπή κωδικού εξ ορισμού. Κανένα από αυτά δεν γίνεται άλλος τύπος επεξεργάζοντας το αρχείο.

Έλεγχος 4: επιβεβαιώστε ότι η πολιτική επιτρέπει αυτόν τον τύπο

Ποιοι τύποι προφίλ υπάρχουν είναι ρύθμιση διαχειριστή, όχι προτίμηση πελάτη. Αν η πύλη προσφέρει μόνο λήψη κλειδωμένη σε χρήστη, ο διακομιστής μπορεί να μην επιτρέπει άλλον τύπο ή να επιτρέπει έναν που η ομάδα του λογαριασμού δεν λαμβάνει. Το να ζητήσετε από τον διαχειριστή να ενεργοποιήσει άλλον τύπο ώστε να εμφανιστεί ένα κουμπί που λείπει είναι αλλαγή πολιτικής με πραγματικές συνέπειες, και η αφαίρεση του ελέγχου ταυτότητας πολλαπλών παραγόντων για να φτάσετε σε σελίδα λήψης ανταλλάσσει έναν έλεγχο ταυτότητας με ευκολία.

Ανάλογα με την έκδοση, η διαχειριστική διεπαφή ιστού εκθέτει επίσης διαχείριση προφίλ για έναν χρήστη, όπου ένας διαχειριστής μπορεί να εκδώσει ή να ανακαλέσει ένα προφίλ χωρίς να συνδεθεί ως εκείνο το πρόσωπο. Όπου αυτή η δυνατότητα απουσιάζει, ο χρήστης κατεβάζει το δικό του αρχείο. Σε κάθε περίπτωση, η σωστή πηγή είναι ο προβλεπόμενος λογαριασμός, ποτέ ένα αντιγραμμένο προφίλ διαχειριστή που χρησιμοποιείται ως πρότυπο.

Έλεγχος 5: παραδώστε το και μετά κρατήστε το ανακλήσιμο

Αντιμετωπίστε τη λήψη ως υλικό διαπιστευτηρίων και όχι ως αρχείο διαμόρφωσης. Ένα προφίλ κλειδωμένο σε χρήστη περιέχει ιδιωτικό κλειδί, γι' αυτό θα πρέπει να ταξιδεύει μέσω καναλιού που θα χρησιμοποιούσατε για κωδικό πρόσβασης, όχι μέσω κοινόχρηστου φακέλου δίσκου ή ομάδας συνομιλίας. Καταγράψτε ποιος χρήστης και ποια συσκευή έλαβαν ποιο αρχείο, γιατί η ανάκληση γίνεται ανά λογαριασμό: όταν ένας φορητός υπολογιστής αντικατασταθεί ή χαθεί, ο διαχειριστής ανακαλεί την πρόσβαση εκείνου του χρήστη και εκδίδει νέο προφίλ, και το παλιό αρχείο σταματά να λειτουργεί στην επόμενη απόπειρα σύνδεσης.

Ολοκληρώστε με τέσσερις ελέγχους με αυτή τη σειρά: η σύνδεση στην πύλη ήταν ο προβλεπόμενος χρήστης, το αρχείο περιέχει ταυτότητα και όχι μόνο διεύθυνση διακομιστή, μία δοκιμαστική σύνδεση από τον προβλεπόμενο πελάτη πετυχαίνει, και μια δεύτερη σύνδεση με άλλον λογαριασμό αποτυγχάνει. Αν η τέταρτη πετύχει, διανείματε το λάθος αρχείο, και η ανάκληση είναι το επόμενο βήμα και όχι μια αλλαγή διαμόρφωσης. Το σεμινάριο λήψης του Access Server δείχνει τη σημερινή διάταξη της πύλης και τη διαφορά μεταξύ προφίλ και προρυθμισμένου προγράμματος εγκατάστασης.