OpenVPN Access Serveri profiili allalaadimine: õige konto

Kasutajaga seotud Access Serveri profiil luuakse ühe konto jaoks ja keeldub kõigist teistest, seega otsustab allalaadimise samm, kellele fail kuulub, enne kui ükskõik milline kliendi säte loeb. Alljärgnev järjekord on see, mille annan igaühele, kes küsib „VPN-faili“: logige sisse isikuna, kes seda kasutama hakkab, leidke oma serveri versiooni juhtelement, lugege, millega fail on seotud, kinnitage, et poliitika lubab seda tüüpi, ja andke see seejärel üle nii, et saaksite selle ikka tühistada. Peatuge esimesel sammul, mis ebaõnnestub; iga järgnev samm eeldab, et eelmine pidas.

Kontroll 1: logige sisse kontona, mitte administraatorina

Kliendiportaal on tavaline kasutajaliides, tavaliselt aadressil https://vpn.example:943/, samas kui haldus asub aadressil https://vpn.example:943/admin. Need on vaikeväärtused; hostinimed, pordid ja pöördpuhverserverid muudavad neid, seega kasutage aadressi, mille teie operaator teile andis. Esmalt administraatori teele sisselogimine on kõige tavalisem vale samm, sest administraatori seanss saab kontosid luua ja hallata, kuid ei ole konto, mis tunnelit kannab.

Kui isik ei saa veel sisse logida, peatuge siin ja parandage see esmalt: parooli lähtestamine, puuduv grupi määramine või konto, mis eksisteerib ainult imporditud autentimiskirjena, blokeerivad allalaadimise olenemata sellest, millist brauserit proovite. Administraatori enda seansist allalaadimine annab administraatori profiili ja just see fail ei tohi sattuda kellegi teise sülearvutisse.

Kontroll 2: leidke oma versiooni allalaadimise juhtelement

Pärast sisselogimist kuvab portaal ühenduse profiili juhtelemendi lehekülje ülaosas. Access Serveri 2.14 ja uuemate puhul kirjeldab õpetus seda jaotisena Ühenduse profiil pealkirja „Laadige oma profiil allpool alla“ all. Kui portaal pakub ka eelkonfigureeritud OpenVPN Connecti paigaldajat, on need kaks erinevat üleandmist: üks paigaldab kliendi koos juba lisatud profiiliga, teine annab teile faili importimiseks klienti, mis teil juba on.

Versioon loeb siin. Vanem portaal võib sama nupu teisiti märgistada ja tugevalt kohandatud portaal võib selle teate alla viia. Kui jaotis puudub täielikult, ärge hakake URL-e oletama: liikuge poliitika kontrolli juurde, selle asemel et teedega katsetada, sest puuduv juhtelement on peaaegu alati serveripoolne otsus.

Kontroll 3: lugege, millega fail on seotud

Kasutajaga seotud profiil sisaldab manustatud kliendisertifikaati ja võtit, mis on välja antud ühele kasutajale, ning server seob selle identiteedi selle kontoga. Faili ümbernimetamine, kuvatava nime muutmine või erinevate volituste sisestamine viipa juures ei muuda sidumist, mistõttu kopeeritud profiil ebaõnnestub teise isiku juures autentimis- või sertifikaadiveaga, mitte marsruutimisprobleemiga. Vaadake faili sisse, kui peate kinnitama, mis teil on:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Sertifikaatide arv ütleb teile, et identiteet on manustatud; read remote nimetavad ainult serverit. Seega võivad kaks sama serverit osutavat faili kuuluda erinevatele inimestele ja üks fail, mis osutab kahele serverile, on endiselt seotud oma algse omanikuga. Serveriga seotud profiilidel ja automaatse sisselogimise profiilidel on jällegi erinevad lubatud kasutusmudelid: serveriga seotud profiil ootab volitusi ühendamise ajal ja automaatse sisselogimise profiil jätab parooliviiba disaini järgi vahele. Ükski neist ei muutu faili redigeerides teiseks tüübiks.

Kontroll 4: kinnitage, et poliitika lubab seda tüüpi

Millised profiilitüübid olemas on, on administraatori säte, mitte kliendi eelistus. Kui portaal pakub ainult kasutajaga seotud allalaadimist, ei pruugi server lubada ühtki teist tüüpi või lubab seda, mida konto grupp ei saa. Palve administraatoril lubada teist tüüpi, et puuduv nupp ilmuks, on poliitikamuudatus tegelike tagajärgedega, ja mitmefaktorilise autentimise eemaldamine allalaadimislehele jõudmiseks vahetab autentimiskontrolli mugavuse vastu.

Sõltuvalt versioonist pakub administraatori veebiliides ka kasutaja profiilihaldust, kus administraator saab profiili välja anda või tühistada ilma selle isikuna sisselogimata. Kus see võimalus puudub, laadib kasutaja alla oma faili. Mõlemal juhul on õige allikas kavandatud konto, mitte kunagi mallina käsitletud kopeeritud administraatori profiil.

Kontroll 5: andke üle ja hoidke seejärel tühistatavana

Käsitlege allalaadimist volitusmaterjalina, mitte konfiguratsioonifailina. Kasutajaga seotud profiil sisaldab privaatvõtit, seega peaks see liikuma kanali kaudu, mida kasutaksite parooli jaoks, mitte jagatud kettakausta või vestlusgrupi kaudu. Kirjutage üles, milline kasutaja ja seade said millise faili, sest tühistamine käib konto kaupa: kui sülearvuti vahetatakse või läheb kaduma, tühistab administraator selle kasutaja juurdepääsu ja annab välja uue profiili, ning vana fail lakkab järgmisel ühenduskatsel töötamast.

Lõpetage nelja kontrolliga selles järjekorras: portaali sisselogimine oli kavandatud kasutaja, fail sisaldab identiteeti, mitte ainult serveri aadressi, üks testühendus kavandatud kliendist õnnestub ja teine ühendus teise kontoga ebaõnnestub. Kui neljas õnnestub, levitasite vale faili ja järgmine samm on tühistamine, mitte konfiguratsiooni muutmine. Access Serveri allalaadimise õpetus näitab portaali praegust paigutust ja erinevust profiili ning eelkonfigureeritud paigaldaja vahel.