Näin kokoat OpenVPN-asiakasprofiilin luovutetuista tiedostoista

Operaattorisi luovuttaa sinulle CA-nipun, asiakasvarmenteen ja sen avaimen, eikä asiakas käynnisty ennen kuin ne on kytketty yhteen profiiliin. Profiili on konfiguraatio: se osoittaa noihin tiedostoihin, ei sisällä niitä, eikä sitä muokkaamalla voi tehdä varmenteesta. Läpikäynti alkaa jo hyväksytystä kannettavasta ja päättyy profiiliin, jonka voit käynnistää tunnetusta hakemistosta. Se ei luo CA:ta, rekisteröi uutta varmentea eikä koske palvelimeen.

Tavoitteena on Linuxin OpenVPN 2.6 -komentoriviasiakas, reititetty TUNilla UDP:n yli, varmenteeen perustuvalla todennuksella.

Kerää vain asiakaspuolen tiedostot

Työskentele suojatussa hakemistossa ja kerää hyväksytty CA-luottamusmateriaali, sinulle luovutettu asiakasvarmenne ja sitä vastaava yksityinen avain. Tässä esimerkissä nimet ovat ca.crt, laptop-a.crt ja laptop-a.key. Tiedostonimet ovat vain nimilappuja; ne eivät kerro mitään siitä, mitä kukin tiedosto sisältää.

Jos loit avaimen rekisteröinnin aikana, se ei koskaan poistunut koneelta; välittäjältä tarvitsee palauttaa vain allekirjoitettu varmenne ja julkinen ketju. Tarkista, että varmenteessa on palvelun odottama asiakasrooli. Tarkista myös, että avain kuuluu tuohon varmenteeseen eikä aiempaan edellisestä yrityksestä. Yhteensopimaton pari aiheuttaa TLS-virheen paljon myöhemmin, ja se näyttää palvelinongelmalta.

Jätä CA:n yksityinen allekirjoitusavain, palvelimen yksityinen avain ja DH-parametrit tämän nipun ulkopuolelle.

Kytke tiedostot pieneen profiiliin

Alla oleva profiili on tarkoituksella lyhyt. Jokainen rivi joko valitsee päätepisteen, rajoittaa identiteettiä, jonka asiakas hyväksyy, tai osoittaa yhteen kolmesta tiedostosta.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Rivi remote valitsee verkon päätepisteen. remote-cert-tls server vaatii, että vastapuoli esittää palvelinroolin varmenteen. verify-x509-name kiinnittää odotetun nimen, tässä vpn-gateway palvelimen varmenteen Common Name -arvona OpenVPN:n oletusnimekentällä. Tätä arvoa ei johdeta DNS-isäntänimestä, joten käytä sitä identiteettikaavaa, jonka operaattori toimitti.

Älä jätä näitä tarkistuksia tekemättä vain siksi, että testipäätepiste näyttää eri varmenteen.

Tämä perusprofiili olettaa, ettei erillistä tilin kyselyä eikä ohjauskanavan avainta ole. Jos palvelu tarvitsee auth-user-pass, tls-auth tai tls-crypt, säilytä konfiguraatio ja materiaali, jonka sait, sillä itse luomasi ohjauskanavan salaisuus ei vastaa palvelimen hallussa olevaa. Säilytä myös palvelun salauskäytäntö sen sijaan, että toisit pakkaus- tai salausrivejä vanhasta esimerkistä.

Tee työhakemistosta eksplisiittinen

Suhteelliset polut seuraavat prosessin työhakemistoa, eivät .ovpn-tiedoston sijaintia.

Tämä yllättää ne, jotka siirtävät profiilin uuteen kansioon ja odottavat avaimen seuraavan. Ylläpitäjän valitsemalle hakemistolle alla oleva komento siirtyy absoluuttiseen polkuun ennen profiilin ja sen viittausten lukemista.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Työpöydän tuontiavustaja tai järjestelmäpalvelu voi paketoida riippuvuudet puolestasi ja soveltaa omia sääntöjään. Se voi myös käyttää eri työhakemistoa kuin se, jossa testasit. Varmista, miten käynnistystapasi ratkaisee avaimen, varmenteen ja CA:n polut. Vain .ovpn-tiedoston siirtäminen ei siirrä erillistä yksityistä avainta.

Pidä avain luettavana vain aiotulle käyttäjälle tai palveluidentiteetille.

Varmista luovutus, älä tiedostonimiä

Ennen ensimmäistä valtuutettua yhteyttä tarkista päätepiste, varmenteen identiteetti, välittäjä ja voimassaoloikkuna. Vahvista sitten, että tiedostoviittaukset ratkeavat työhakemistosta, jota todella käytät. Yhdistämisen jälkeen testaa sovelluksen ja DNS:n toiminta, jonka reitityskäytännön pitäisi tarjota. Kolme luettavaa tiedostoa ei todista mitään palvelimen valtuutuksesta tai käyttökelpoisesta resurssipolusta.

Jos salasanalauseke kysytään, se kuuluu yksityiselle avaimelle, ei VPN-tilille.

Viimeiseksi inventoi nippu tunnistetietomateriaalina. Saman varmenteen ja avaimen antaminen toiselle kannettavalle kopioi identiteetin, eikä tiedoston uudelleennimeäminen anna toista rekisteröintiä. Siinä on ero profiilin kokoamisen ja sen luovuttamisen välillä.