Elŝuto de profilo por OpenVPN Access Server: la ĝusta konto

Uzantoŝlosita profilo de Access Server estas kreita por unu konto kaj rifuzas ĉiun alian, do la elŝuta paŝo decidas, al kiu la dosiero apartenas, antaŭ ol iu ajn klienta agordo gravas. La suba ordo estas tiu, kiun mi donas al ĉiu, kiu petas «la VPN-dosieron»: ensalutu kiel la persono, kiu uzos ĝin, trovu la regilon por via servila versio, legu, al kio la dosiero estas ŝlosita, konfirmu, ke la politiko permesas tiun tipon, kaj poste transdonu ĝin tiel, ke vi ankoraŭ povas revoki ĝin. Haltu ĉe la unua paŝo, kiu malsukcesas; ĉiu posta paŝo supozas, ke la antaŭa validis.

Kontrolo 1: ensalutu kiel la konto, ne kiel la administranto

La klienta portalo estas la ordinara uzantinterfaco, kutime ĉe https://vpn.example:943/, dum la administrado estas ĉe https://vpn.example:943/admin. Tiuj estas defaŭltaj ekzemploj; gastigantnomoj, pordoj kaj inversaj prokuroj ŝanĝas ilin, do uzu la adreson, kiun via operatoro donis al vi. Ensaluti unue al la administra vojo estas la plej ofta mispaŝo, ĉar la administra seanco povas krei kaj administri kontojn sed ne estas la konto, kiu portos la tunelon.

Se la persono ankoraŭ ne povas ensaluti, haltu ĉi tie kaj riparu tion unue: pasvorta restarigo, mankanta grupa atribuo aŭ konto, kiu ekzistas nur kiel importita aŭtentiga enskribo, blokos la elŝuton sendepende de la retumilo, kiun vi provas. Elŝuti el la propra seanco de la administranto produktas la profilon de la administranto, kaj ĝuste tiu dosiero ne rajtas fini sur la tekokomputilo de iu alia.

Kontrolo 2: trovu la elŝutan regilon por via versio

Post ensaluto, la portalo montras regilon pri konekta profilo proksime al la supro de la paĝo. Por Access Server 2.14 kaj pli novaj, la lernilo priskribas ĝin kiel sekcion Konekta profilo sub «Elŝutu vian profilon sube». Kie la portalo ankaŭ proponas antaŭagordan instalilon de OpenVPN Connect, temas pri du malsamaj transdonaĵoj: unu instalas la klienton kun la profilo jam alkroĉita, la alia donas al vi dosieron por importi en klienton, kiun vi jam havas.

Versio gravas ĉi tie. Pli malnova portalo povas etikedi la saman butonon alimaniere, kaj forte adaptita portalo povas movi ĝin sub avizon. Se la sekcio tute mankas, ne komencu diveni URL-ojn: iru al la politika kontrolo anstataŭ eksperimenti kun vojoj, ĉar mankanta regilo preskaŭ ĉiam estas decido ĉe la servila flanko.

Kontrolo 3: legu, al kio la dosiero estas ŝlosita

Uzantoŝlosita profilo portas enigitan klientan atestilon kaj ŝlosilon eldonitajn por unu uzanto, kaj la servilo mapas tiun identecon al tiu konto. Renomado de la dosiero, redaktado de ĝia montra nomo aŭ entajpado de aliaj akreditaĵoj ĉe la invito ne ŝanĝas la mapon, tial kopiita profilo malsukcesas ĉe la dua persono per aŭtentiga aŭ atestila eraro anstataŭ per enkursiga problemo. Enrigardu la dosieron, se vi bezonas konfirmi, kion vi havas:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

La atestila nombro diras al vi, ke identeco estas enigita; la linioj remote nomas nur la servilon. Du dosieroj, kiuj montras al la sama servilo, povas do aparteni al malsamaj personoj, kaj unu dosiero, kiu montras al du serviloj, restas ligita al sia origina posedanto. Profiloj ŝlositaj al servilo kaj profilo de aŭtomata ensaluto havas denove malsamajn permesitajn uzkadmodelojn: profilo ŝlosita al servilo atendas akreditaĵojn ĉe konektmomento, kaj profilo de aŭtomata ensaluto preterlasas la pasvortan inviton laŭ sia dezajno. Neniu el ili fariĝas alia tipo per redaktado de la dosiero.

Kontrolo 4: konfirmu, ke la politiko permesas tiun tipon

Kiuj profilaj tipoj ekzistas, estas agordo de la administranto, ne prefero de la kliento. Se la portalo proponas nur uzantoŝlositan elŝuton, la servilo eble permesas neniun alian tipon, aŭ permesas unu, kiun la grupo de la konto ne ricevas. Peti la administranton ŝalti alian tipon, por ke mankanta butono aperu, estas politika ŝanĝo kun realaj sekvoj, kaj forigi plurfaktoran aŭtentigon por atingi elŝutan paĝon interŝanĝas aŭtentigan regilon kontraŭ oportuno.

Depende de la versio, la administra reta interfaco ankaŭ montras profiladministradon por uzanto, kie administranto povas eldoni aŭ revoki profilon sen ensaluti kiel tiu persono. Kie tiu kapablo mankas, la uzanto elŝutas sian propran dosieron. Ĉiukaze la ĝusta fonto estas la celata konto, neniam kopiita administranta profilo traktata kiel ŝablono.

Kontrolo 5: transdonu ĝin, poste tenu ĝin revokebla

Traktu la elŝuton kiel akreditan materialon, ne kiel agordan dosieron. Uzantoŝlosita profilo enhavas privatan ŝlosilon, do ĝi vojaĝu tra kanalo, kiun vi uzus por pasvorto, ne tra kunhava diskujlo aŭ babileja grupo. Notu, kiu uzanto kaj aparato ricevis kiun dosieron, ĉar revokado okazas laŭ konto: kiam tekokomputilo estas anstataŭigita aŭ perdita, la administranto revokas la aliron de tiu uzanto kaj eldonas novan profilon, kaj la malnova dosiero ĉesas funkcii ĉe la sekva konektoprovo.

Finu per kvar kontroloj en ĉi tiu ordo: la portalensaluto estis la celata uzanto, la dosiero enhavas identecon kaj ne nur servilan adreson, unu testa konekto de la celata kliento sukcesas, kaj dua konekto per alia konto malsukcesas. Se la kvara sukcesas, vi disdonis la malĝustan dosieron, kaj revokado estas la sekva paŝo anstataŭ agorda redakto. La lernilo pri elŝuto de Access Server montras la nunan portalaranĝon kaj la diferencon inter profilo kaj antaŭagorda instalilo.