Kiel kunmeti OpenVPN-klientan profilon el la eldonitaj dosieroj

Via operatoro transdonas al vi CA-pakaĵon, klientan atestilon kaj ĝian ŝlosilon, kaj la kliento ne ekfunkcias ĝis ili estos kunligitaj en unu profilon. La profilo estas agordo: ĝi montras al tiuj dosieroj, ĝi ne enhavas ilin, kaj redaktado ne povas igi ĝin atestilo. La gvidilo komenciĝas ĉe jam aprobita tekkomputilo kaj finiĝas per profilo, kiun vi povas lanĉi el konata dosierujo. Ĝi ne kreas CA, ne registras novan atestilon kaj ne tuŝas la servilon.

La celo ĉi tie estas OpenVPN 2.6 komandlinia kliento por Linux, enkursigita per TUN super UDP, kun atestila aŭtentikigo.

Kolektu nur la dosierojn de la klienta flanko

Laboru en protektita dosierujo kaj kolektu la aprobitan CA-fidmaterialon, vian eldonitan klientan atestilon kaj la privatan ŝlosilon, kiu kongruas al ĝi. En ĉi tiu ekzemplo la nomoj estas ca.crt, laptop-a.crt kaj laptop-a.key. La dosiernomoj estas nur etikedoj; ili diras nenion pri tio, kion enhavas ĉiu dosiero.

Se vi generis la ŝlosilon dum la aliĝo, ĝi neniam forlasis la maŝinon; de la eldonanto devas reveni nur la subskribita atestilo kaj la publika ĉeno. Kontrolu, ke la atestilo portas la klientan rolon, kiun la servo atendas. Kontrolu ankaŭ, ke la ŝlosilo apartenas al tiu atestilo kaj ne al pli frua el antaŭa provo. Nekongrua paro kaŭzas TLS-malsukceson multe pli poste, kiu aspektas kiel servila problemo.

Lasu la privatan subskriban ŝlosilon de la CA, la privatan ŝlosilon de la servilo kaj la DH-parametrojn ekster ĉi tiu pakaĵo.

Kunligu la dosierojn en malgrandan profilon

La suba profilo estas intence mallonga. Ĉiu linio aŭ elektas la finpunkton, aŭ limigas la identecon, kiun la kliento akceptos, aŭ montras al unu el la tri dosieroj.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

La linio remote elektas la retan finpunkton. remote-cert-tls server insistas, ke la kontraŭparto prezentu atestilon kun servila rolo. verify-x509-name fiksas la atendatan nomon, ĉi tie vpn-gateway kiel Common Name de la servila atestilo kun la defaŭlta nomkampo de OpenVPN. Tiu valoro ne estas deduktita el la DNS-gastignomo, do uzu la identecan skemon, kiun la operatoro liveris.

Ne forlasu tiujn kontrolojn nur ĉar testa finpunkto montras alian atestilon.

Ĉi tiu baza profilo supozas neniun apartan kontan defion kaj neniun ŝlosilon de la regkanalo. Se la servo bezonas auth-user-pass, tls-auth aŭ tls-crypt, konservu la agordon kaj la materialon, kiun vi ricevis, ĉar regkanala sekreto, kiun vi mem generas, ne kongruos kun tiu, kiun la servilo tenas. Konservu ankaŭ la ĉifran politikon de la servo anstataŭ importi kunpremajn aŭ ĉifrajn liniojn el malnova ekzemplo.

Faru la laboran dosierujon eksplicita

Relativaj vojoj sekvas la laboran dosierujon de la procezo, ne la lokon de la dosiero .ovpn.

Tio surprizas homojn, kiuj movas la profilon al nova dosierujo kaj atendas, ke la ŝlosilo sekvos ĝin. Por dosierujo elektita de la administranto, la suba komando ŝanĝas al absoluta vojo antaŭ ol legi la profilon kaj ĝiajn referencojn.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Labortabla importasistanto aŭ sistema servo povas paki la dependecojn por vi kaj apliki proprajn regulojn. Ĝi ankaŭ povas uzi alian laboran dosierujon ol tiun, en kiu vi testis. Konfirmu, kiel via lanĉmetodo solvas la vojojn al ŝlosilo, atestilo kaj CA. Movi nur la dosieron .ovpn ne movas la apartan privatan ŝlosilon.

Tenadu la ŝlosilon legebla nur por la celita uzanto aŭ serva identeco.

Kontrolu la transdonon, ne la dosiernomojn

Antaŭ la unua rajtigita konekto, kontrolu la finpunkton, la atestilan identecon, la eldonanton kaj la validecan fenestron. Poste konfirmu, ke la dosierreferencoj solviĝas el la labora dosierujo, kiun vi efektive uzos. Post konekto, testu la aplikaĵan kaj DNS-konduton, kiun la enkursiga politiko devus provizi. Tri legeblaj dosieroj pruvas nenion pri servila rajtigo aŭ pri uzebla rimeda vojo.

Se aperas invito por pasfrazo, ĝi apartenas al la privata ŝlosilo, ne al VPN-konto.

Fine, inventaru la pakaĵon kiel legitimilan materialon. Transdoni la saman atestilon kaj ŝlosilon al dua tekkomputilo kopias la identecon, kaj renomigi la dosieron ne donas al vi duan aliĝon. Tio estas la diferenco inter kunmeti profilon kaj eldoni ĝin.