Nola muntatu OpenVPN bezeroaren profila emandako fitxategiekin

Zure operadoreak CA sorta bat, bezero-ziurtagiri bat eta bere gakoa ematen dizkizu, eta bezeroa ez da abiaraziko profil bakarrean konektatu arte. Profila konfigurazioa da: fitxategi horiei begira dago, ez ditu barnean hartzen, eta editatzeak ezin du ziurtagiri bihurtu. Ibilbidea dagoeneko onartutako ordenagailu eramangarri batean hasten da eta direktorio ezagun batetik abiaraz dezakezun profilean amaitzen da. Ez du CArik sortzen, ez du ziurtagiri berririk erregistratzen eta ez dio zerbitzariari ukitzen.

Hemen helburua Linux-entzako OpenVPN 2.6 komando-lerroko bezeroa da, TUN bidez bideratua UDP gainean, ziurtagiri bidezko autentifikazioarekin.

Bildu bezeroaren aldetiko fitxategiak soilik

Lan egin direktorio babestu batean eta bildu onartutako CA konfiantza-materiala, emandako bezero-ziurtagiria eta harekin bat datorren gako pribatua. Adibide honetan izenak ca.crt, laptop-a.crt eta laptop-a.key dira. Fitxategi-izenak etiketa hutsak dira; ez dute ezer esaten fitxategi bakoitzak zer daukan.

Gakoa izen-ematean sortu baduzu, ez zuen inoiz makina utzi; igorlearengandik sinatutako ziurtagiria eta kate publikoa soilik itzuli behar dira. Egiaztatu ziurtagiriak zerbitzuak espero duen bezero-rola daramala. Egiaztatu, halaber, gakoa ziurtagiri horrena dela, eta ez aurreko saiakerako zaharrago batena. Bikote bat ez datorrenean TLS hutsegitea sortzen da askoz geroago, zerbitzariaren arazoa dirudiena.

Utzi CAren sinadura-gako pribatua, zerbitzariaren gako pribatua eta DH parametroak paketetik kanpo.

Konektatu fitxategiak profil txiki batean

Beheko profila nahita laburra da. Lerro bakoitzak muturra hautatzen du, bezeroak onartuko duen identitatea mugatzen du, edo hiru fitxategietako bati erreferentzia egiten dio.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote lerroak sare-muturra hautatzen du. remote-cert-tls server-ek eskatzen du parekoak zerbitzari-rola duen ziurtagiria aurkeztea. verify-x509-name-ek espero den izena finkatzen du, hemen vpn-gateway zerbitzariaren ziurtagiriaren Common Name gisa OpenVPN-en izen-eremu lehenetsiarekin. Balio hori ez da DNS ostalari-izenetik ondorioztatzen, beraz erabili operadoreak eman duen identitate-eskema.

Ez baztertu egiaztapen horiek proba-mutur batek ziurtagiri desberdina erakusten duelako soilik.

Oinarrizko profil honek ez du kontu-erronka bereizirik eta kontrol-kanaleko gakorik suposatzen. Zerbitzuak auth-user-pass, tls-auth edo tls-crypt behar badu, gorde konfigurazioa eta eman zizuten materiala, zuk zeuk sortutako kontrol-kanaleko sekretua ez baitator bat zerbitzariak duenarekin. Gorde zerbitzuaren zifratze-politika ere, adibide zahar batetik konpresio- edo zifratze-lerroak inportatu beharrean.

Egin lan-direktorioa esplizitu

Bide erlatiboek prozesuaren lan-direktorioari jarraitzen diote, ez .ovpn fitxategiaren kokapenari.

Hori harritzekoa da profila karpeta berrira eramaten dutenentzat eta gakoa harekin joango dela espero dutenentzat. Administratzaileak hautatutako direktorio baterako, beheko komandoak bide absolutura aldatzen da profila eta haren erreferentziak irakurri aurretik.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Mahaigaineko inportazio-laguntzaile batek edo sistemaren zerbitzu batek mendekotasunak zure ordez paketatu ditzake eta bere arauak aplikatu. Probatu duzunaren desberdina den lan-direktorioa ere erabil dezake. Berretsi zure abiarazte-metodoak nola ebazten dituen gako, ziurtagiri eta CA bideak. .ovpn fitxategia soilik mugitzeak ez du gako pribatu bereizia mugitzen.

Mantendu gakoa irakurgarri xede-kontsumitzaile edo zerbitzu-identitatearentzat soilik.

Egiaztatu entrega, ez fitxategi-izenak

Lehen konexio baimendua baino lehen, egiaztatu muturra, ziurtagiriaren identitatea, igorlea eta baliozkotasun-leihoa. Gero berretsi fitxategi-erreferentziak benetan erabiliko duzun lan-direktoriotik ebazten direla. Konektatu ondoren, probatu bideratze-politikak eman beharko lukeen aplikazio- eta DNS-jokabidea. Hiru fitxategi irakurgarrik ez dute ezer frogatzen zerbitzariaren baimenari buruz ezta erabil daitekeen baliabide-bideari buruz ere.

Pasahitz-esaldi bat agertzen bada, gako pribatuarena da, ez VPN kontu batena.

Azkenik, egin paketearen inbentarioa kredentzial-material gisa. Ziurtagiri eta gako bera bigarren ordenagailu eramangarri bati emateak identitatea kopiatzen du, eta fitxategia berrizendatzeak ez dizu bigarren izen-ematerik ematen. Hori da profila muntatzearen eta hura igortzearen arteko aldea.