OpenVPN Access Server -profiilin lataus: oikea tili

Käyttäjään sidottu Access Server -profiili luodaan yhdelle tilille ja hylkää kaikki muut, joten latausvaihe ratkaisee, kenelle tiedosto kuuluu, ennen kuin mikään asiakasasetus merkitsee. Alla oleva järjestys on se, jonka annan jokaiselle, joka pyytää ”VPN-tiedostoa”: kirjaudu sisään henkilönä, joka sitä käyttää, etsi palvelinversiosi hallintaelementti, lue mihin tiedosto on sidottu, varmista että käytäntö sallii kyseisen tyypin ja luovuta se sitten tavalla, jolla voit vielä peruuttaa sen. Pysähdy ensimmäiseen vaiheeseen, joka epäonnistuu; jokainen myöhempi vaihe olettaa, että edellinen piti.

Tarkistus 1: kirjaudu sisään tilinä, älä ylläpitäjänä

Asiakasportaali on tavallinen käyttöliittymä, yleensä osoitteessa https://vpn.example:943/, kun taas ylläpito on osoitteessa https://vpn.example:943/admin. Nämä ovat oletusesimerkkejä; isäntänimet, portit ja käänteispalvelimet muuttavat niitä, joten käytä operaattorisi antamaa osoitetta. Ylläpitopolulle kirjautuminen ensin on yleisin väärä askel, koska ylläpitoistunto voi luoda ja hallita tilejä mutta ei ole se tili, joka kantaa tunnelin.

Jos henkilö ei vielä voi kirjautua sisään, pysähdy tähän ja korjaa se ensin: salasanan palautus, puuttuva ryhmämääritys tai tili, joka on olemassa vain tuotuna todennusmerkintänä, estävät latauksen riippumatta siitä, mitä selainta yrität. Ylläpitäjän omasta istunnosta lataaminen tuottaa ylläpitäjän profiilin, ja juuri se tiedosto ei saa päätyä jonkun toisen kannettavalle.

Tarkistus 2: etsi versionsi lataushallinta

Kirjauduttuaan portaali näyttää yhteysprofiilin hallinnan sivun yläosassa. Access Server 2.14:ssä ja uudemmissa opas kuvaa sen Yhteysprofiili-osioksi otsikon ”Lataa profiilisi alta” alla. Kun portaali tarjoaa myös esikonfiguroidun OpenVPN Connect -asentajan, kyse on kahdesta eri luovutuksesta: toinen asentaa asiakkaan, johon profiili on jo liitetty, toinen antaa tiedoston tuotavaksi asiakkaaseen, joka sinulla jo on.

Versiolla on väliä tässä. Vanhempi portaali voi nimetä saman painikkeen eri tavalla, ja voimakkaasti mukautettu portaali voi siirtää sen ilmoituksen alle. Jos osio puuttuu kokonaan, älä ala arvailla URL-osoitteita: siirry käytännön tarkistukseen sen sijaan että kokeilisit polkuja, koska puuttuva hallinta on lähes aina palvelinpuolen päätös.

Tarkistus 3: lue mihin tiedosto on sidottu

Käyttäjään sidottu profiili sisältää upotetun asiakasvarmenteen ja avaimen, jotka on myönnetty yhdelle käyttäjälle, ja palvelin yhdistää tämän identiteetin kyseiseen tiliin. Tiedoston uudelleennimeäminen, näyttönimen muokkaaminen tai eri tunnistetietojen kirjoittaminen kehotteeseen ei muuta yhdistämistä, minkä vuoksi kopioitu profiili epäonnistuu toisella henkilöllä todennus- tai varmennevirheeseen eikä reititysongelmaan. Katso tiedoston sisään, jos sinun on varmistettava, mitä sinulla on:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Varmennemäärä kertoo, että identiteetti on upotettu; rivit remote nimeävät vain palvelimen. Kaksi samaan palvelimeen osoittavaa tiedostoa voi siis kuulua eri henkilöille, ja yksi tiedosto, joka osoittaa kahteen palvelimeen, on edelleen sidottu alkuperäiseen omistajaansa. Palvelimeen sidotuilla profiileilla ja automaattisen kirjautumisen profiileilla on taas erilaiset sallitut käyttömallit: palvelimeen sidottu profiili odottaa tunnistetietoja yhdistettäessä, ja automaattisen kirjautumisen profiili ohittaa salasanakehotteen suunnittelunsa mukaisesti. Mikään niistä ei muutu toiseksi tyypiksi tiedostoa muokkaamalla.

Tarkistus 4: varmista, että käytäntö sallii kyseisen tyypin

Se, mitä profiilityyppejä on olemassa, on ylläpitäjän asetus, ei asiakkaan mieltymys. Jos portaali tarjoaa vain käyttäjään sidotun latauksen, palvelin ei ehkä salli muuta tyyppiä tai sallii tyypin, jota tilin ryhmä ei saa. Pyyntö ylläpitäjälle ottaa käyttöön toinen tyyppi, jotta puuttuva painike ilmestyisi, on käytännön muutos, jolla on todellisia seurauksia, ja monivaiheisen todennuksen poistaminen lataussivulle pääsemiseksi vaihtaa todennusvalvonnan mukavuuteen.

Versiosta riippuen ylläpidon verkkokäyttöliittymä tarjoaa myös käyttäjän profiilihallinnan, jossa ylläpitäjä voi myöntää tai peruuttaa profiilin kirjautumatta kyseisenä henkilönä. Jos tämä ominaisuus puuttuu, käyttäjä lataa oman tiedostonsa. Kummassakin tapauksessa oikea lähde on aiottu tili, ei koskaan mallina käytetty kopioitu ylläpitäjän profiili.

Tarkistus 5: luovuta tiedosto ja pidä se sen jälkeen peruutettavana

Kohtele latausta tunnistetietomateriaalina, älä asetustiedostona. Käyttäjään sidottu profiili sisältää yksityisen avaimen, joten sen pitäisi kulkea kanavaa, jota käyttäisit salasanalle, ei jaetun aseman kansion tai chat-ryhmän kautta. Kirjaa, mikä käyttäjä ja laite saivat minkä tiedoston, koska peruutus tehdään tileittäin: kun kannettava vaihdetaan tai katoaa, ylläpitäjä peruuttaa kyseisen käyttäjän pääsyn ja myöntää uuden profiilin, ja vanha tiedosto lakkaa toimimasta seuraavalla yhteysyrityksellä.

Lopeta neljään tarkistukseen tässä järjestyksessä: portaaliin kirjautuminen oli aiottu käyttäjä, tiedosto sisältää identiteetin eikä vain palvelinosoitetta, yksi testiyhteys aiotusta asiakkaasta onnistuu ja toinen yhteys toisella tilillä epäonnistuu. Jos neljäs onnistuu, jaoit väärän tiedoston, ja seuraava vaihe on peruutus eikä asetuksen muokkaus. Access Serverin latausopas näyttää portaalin nykyisen asettelun ja eron profiilin ja esikonfiguroidun asentajan välillä.