Descarga del perfil de OpenVPN Access Server: la cuenta correcta

Un perfil de Access Server bloqueado por usuario se genera para una cuenta y rechaza cualquier otra, así que el paso de descarga decide a quién pertenece el archivo antes de que importe ningún ajuste del cliente. El orden siguiente es el que doy a quien pide «el archivo VPN»: inicie sesión como la persona que lo va a usar, encuentre el control para su versión del servidor, lea a qué está bloqueado el archivo, confirme que la política permite ese tipo y luego entréguelo de una forma en la que aún pueda revocarlo. Deténgase en el primer paso que falle; cada paso posterior supone que el anterior se cumplió.

Comprobación 1: inicie sesión como la cuenta, no como el administrador

El portal del cliente es la interfaz de usuario habitual, normalmente en https://vpn.example:943/, mientras que la administración está en https://vpn.example:943/admin. Estos son ejemplos predeterminados; los nombres de host, los puertos y los proxys inversos los cambian, así que use la dirección que le dio su operador. Iniciar sesión primero en la ruta de administración es el paso equivocado más común, porque la sesión de administración puede crear y gestionar cuentas, pero no es la cuenta que llevará el túnel.

Si la persona todavía no puede iniciar sesión, deténgase aquí y arréglelo primero: un restablecimiento de contraseña, una asignación de grupo que falta o una cuenta que solo existe como entrada de autenticación importada bloquearán la descarga sea cual sea el navegador que pruebe. Descargar desde la propia sesión del administrador produce el perfil del administrador, que es exactamente el archivo que no debe acabar en el portátil de otra persona.

Comprobación 2: encuentre el control de descarga para su versión

Una vez iniciada la sesión, el portal muestra un control de perfil de conexión cerca de la parte superior de la página. Para Access Server 2.14 y versiones posteriores, el tutorial lo describe como una sección Perfil de conexión bajo «Descargue su perfil a continuación». Cuando el portal también ofrece un instalador de OpenVPN Connect preconfigurado, son dos entregas distintas: uno instala el cliente con el perfil ya adjunto y el otro le da un archivo para importar en un cliente que ya tiene.

La versión importa aquí. Un portal más antiguo puede etiquetar el mismo botón de otra forma, y un portal muy personalizado puede moverlo debajo de un aviso. Si la sección falta por completo, no empiece a adivinar URL: pase a la comprobación de política en lugar de experimentar con rutas, porque un control que falta casi siempre es una decisión del lado del servidor.

Comprobación 3: lea a qué está bloqueado el archivo

Un perfil bloqueado por usuario lleva un certificado de cliente y una clave incrustados emitidos para un usuario, y el servidor asigna esa identidad a esa cuenta. Renombrar el archivo, editar su nombre visible o escribir credenciales distintas en el aviso no cambia la asignación, y por eso un perfil copiado falla para la segunda persona con un error de autenticación o de certificado en lugar de un problema de enrutamiento. Mire dentro del archivo si necesita confirmar qué tiene:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

El recuento de certificados le dice que hay una identidad incrustada; las líneas remote solo nombran el servidor. Por tanto, dos archivos que apuntan al mismo servidor pueden pertenecer a personas distintas, y un archivo que apunta a dos servidores sigue ligado a su propietario original. Los perfiles bloqueados por servidor y los de inicio de sesión automático tienen otra vez modelos de uso permitidos diferentes: un perfil bloqueado por servidor espera credenciales en el momento de conectar, y un perfil de inicio de sesión automático omite el aviso de contraseña por diseño. Ninguno de ellos se convierte en otro tipo editando el archivo.

Comprobación 4: confirme que la política permite ese tipo

Qué tipos de perfil existen es un ajuste del administrador, no una preferencia del cliente. Si el portal solo ofrece una descarga bloqueada por usuario, el servidor puede no permitir ningún otro tipo, o puede permitir uno que el grupo de la cuenta no recibe. Pedir al administrador que habilite otro tipo para que aparezca un botón que falta es un cambio de política con consecuencias reales, y quitar la autenticación multifactor para llegar a una página de descarga cambia un control de autenticación por comodidad.

Según la versión, la interfaz web de administración también expone la gestión de perfiles para un usuario, donde un administrador puede emitir o revocar un perfil sin iniciar sesión como esa persona. Donde esa capacidad falta, el usuario descarga su propio archivo. En cualquier caso, la fuente correcta es la cuenta prevista, nunca un perfil de administrador copiado y tratado como plantilla.

Comprobación 5: entregue el archivo y luego manténgalo revocable

Trate la descarga como material de credenciales y no como un archivo de configuración. Un perfil bloqueado por usuario contiene una clave privada, así que debe viajar por un canal que usaría para una contraseña, no por una carpeta compartida de disco ni por un grupo de chat. Anote qué usuario y qué dispositivo recibieron qué archivo, porque la revocación es por cuenta: cuando un portátil se sustituye o se pierde, el administrador revoca el acceso de ese usuario y emite un perfil nuevo, y el archivo antiguo deja de funcionar en el siguiente intento de conexión.

Termine con cuatro comprobaciones en este orden: el inicio de sesión en el portal era el usuario previsto, el archivo contiene una identidad y no solo una dirección de servidor, una conexión de prueba desde el cliente previsto tiene éxito y una segunda conexión con otra cuenta falla. Si la cuarta tiene éxito, ha distribuido el archivo equivocado, y la revocación es el siguiente paso en lugar de una edición de la configuración. El tutorial de descarga de Access Server muestra el diseño actual del portal y la diferencia entre un perfil y un instalador preconfigurado.