Kuidas koostada OpenVPN-i kliendiprofiili väljastatud failidest

Teie operaator annab üle CA-paketi, kliendisertifikaadi ja selle võtme ning klient ei käivitu enne, kui need on ühte profiili ühendatud. Profiil on konfiguratsioon: see osutab neile failidele, ei sisalda neid, ja redigeerimine ei saa muuta seda sertifikaadiks. Juhend algab juba kinnitatud sülearvutist ja lõpeb profiiliga, mille saate käivitada teadaolevast kataloogist. See ei loo CA-d, ei registreeri uut sertifikaati ega puuduta serverit.

Siin on sihtmärk Linuxi OpenVPN 2.6 käsureaklient, marsruuditud TUN-iga üle UDP, sertifikaadipõhise autentimisega.

Koguge ainult kliendipoolseid faile

Töötage kaitstud kataloogis ja koguge kinnitatud CA usaldusmaterjal, teile väljastatud kliendisertifikaat ja sellele vastav privaatvõti. Selles näites on nimed ca.crt, laptop-a.crt ja laptop-a.key. Failinimed on ainult sildid; need ei ütle midagi selle kohta, mida iga fail sisaldab.

Kui genereerisite võtme registreerimise ajal, ei lahkunud see kunagi masinast; väljastajalt peavad tagasi tulema ainult allkirjastatud sertifikaat ja avalik ahel. Kontrollige, et sertifikaat kannaks kliendi rolli, mida teenus ootab. Kontrollige ka, et võti kuulub sellele sertifikaadile, mitte varasemale eelmisest katsest. Sobimatu paar tekitab TLS-tõrke palju hiljem ja see näeb välja nagu serveri probleem.

Jätke CA privaatne allkirjastamisvõti, serveri privaatvõti ja DH-parameetrid sellest paketist välja.

Ühendage failid väikeseks profiiliks

Allolev profiil on meelega lühike. Iga rida kas valib lõpp-punkti, piirab identiteeti, mille klient vastu võtab, või osutab ühele kolmest failist.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Rida remote valib võrgu lõpp-punkti. remote-cert-tls server nõuab, et vastaspool esitaks serveri rolliga sertifikaadi. verify-x509-name kinnitab oodatud nime, siin vpn-gateway serveri sertifikaadi Common Name'ina OpenVPN-i vaikimisi nimeväljaga. Seda väärtust ei tuletata DNS-i hostinimest, seega kasutage identiteediskeemi, mille operaator andis.

Ärge jätke neid kontrolle tegemata ainult seetõttu, et test-lõpp-punkt näitab teistsugust sertifikaati.

See baasprofiil eeldab, et eraldi kontoväljakutset ja juhtkanali võtit ei ole. Kui teenus vajab auth-user-pass, tls-auth või tls-crypt, säilitage konfiguratsioon ja materjal, mille saite, sest ise genereeritud juhtkanali saladus ei ühti serveri omaga. Säilitage ka teenuse šifripoliitika, selle asemel et importida vanast näitest pakkimis- või šifrireid.

Tehke töökataloog selgesõnaliseks

Suhtelised teed järgivad protsessi töökataloogi, mitte faili .ovpn asukohta.

See üllatab inimesi, kes liigutavad profiili uude kausta ja eeldavad, et võti järgneb sellele. Administraatori valitud kataloogi puhul lülitub allolev käsk enne profiili ja selle viidete lugemist absoluutsele teele.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Töölaua impordiviisard või süsteemiteenus võib sõltuvused teie eest pakendada ja rakendada oma reegleid. See võib kasutada ka teistsugust töökataloogi kui see, milles te katsetasite. Kinnitage, kuidas teie käivitamisviis lahendab võtme, sertifikaadi ja CA teed. Ainult faili .ovpn liigutamine ei liiguta eraldi privaatvõtit.

Hoidke võti loetav ainult ettenähtud kasutajale või teenuse identiteedile.

Kontrollige üleandmist, mitte failinimesid

Enne esimest volitatud ühendust kontrollige lõpp-punkti, sertifikaadi identiteeti, väljastajat ja kehtivusakent. Seejärel kinnitage, et failiviited lahenevad töökataloogist, mida te tegelikult kasutate. Pärast ühendamist testige rakenduse ja DNS-i käitumist, mille marsruutimispoliitika peaks tagama. Kolm loetavat faili ei tõesta midagi serveri volituse ega kasutatava ressursitee kohta.

Kui ilmub paroolifraasi küsimus, kuulub see privaatvõtmele, mitte VPN-i kontole.

Lõpuks loetlege pakett volitusmaterjalina. Sama sertifikaadi ja võtme andmine teisele sülearvutile kopeerib identiteedi ning faili ümbernimetamine ei anna teile teist registreerimist. See on vahe profiili koostamise ja selle väljastamise vahel.