Téléchargement du profil OpenVPN Access Server : le bon compte

Un profil Access Server verrouillé sur utilisateur est généré pour un seul compte et refuse tous les autres, donc l’étape de téléchargement décide à qui appartient le fichier avant que le moindre réglage client ne compte. L’ordre ci-dessous est celui que je donne à quiconque demande « le fichier VPN » : connectez-vous en tant que la personne qui l’utilisera, trouvez le contrôle correspondant à votre version du serveur, lisez à quoi le fichier est verrouillé, confirmez que la politique autorise ce type, puis remettez-le d’une manière qui vous permet encore de le révoquer. Arrêtez-vous à la première étape qui échoue ; chaque étape suivante suppose que la précédente a tenu.

Vérification 1 : connectez-vous en tant que le compte, pas en tant qu’administrateur

Le portail client est l’interface utilisateur ordinaire, généralement à l’adresse https://vpn.example:943/, tandis que l’administration se trouve à l’adresse https://vpn.example:943/admin. Ce sont des exemples par défaut ; les noms d’hôte, les ports et les proxys inverses les changent, utilisez donc l’adresse que votre opérateur vous a donnée. Se connecter d’abord au chemin d’administration est l’erreur la plus courante, car la session d’administration peut créer et gérer des comptes mais n’est pas le compte qui portera le tunnel.

Si la personne ne peut pas encore se connecter, arrêtez-vous ici et corrigez cela d’abord : une réinitialisation de mot de passe, une affectation de groupe manquante ou un compte qui n’existe que comme entrée d’authentification importée bloqueront le téléchargement quel que soit le navigateur essayé. Télécharger depuis la session de l’administrateur produit le profil de l’administrateur, et c’est exactement le fichier qui ne doit pas finir sur l’ordinateur portable de quelqu’un d’autre.

Vérification 2 : trouvez le contrôle de téléchargement de votre version

Une fois connecté, le portail affiche un contrôle de profil de connexion près du haut de la page. Pour Access Server 2.14 et versions ultérieures, le tutoriel le décrit comme une section Profil de connexion sous « Téléchargez votre profil ci-dessous ». Lorsque le portail propose aussi un installateur OpenVPN Connect préconfiguré, ce sont deux remises différentes : l’une installe le client avec le profil déjà joint, l’autre vous donne un fichier à importer dans un client que vous avez déjà.

La version compte ici. Un portail plus ancien peut libeller le même bouton différemment, et un portail fortement personnalisé peut le déplacer sous un avis. Si la section est totalement absente, ne commencez pas à deviner des URL : passez à la vérification de politique plutôt que d’expérimenter des chemins, car un contrôle manquant est presque toujours une décision côté serveur.

Vérification 3 : lisez à quoi le fichier est verrouillé

Un profil verrouillé sur utilisateur porte un certificat client et une clé intégrés émis pour un utilisateur, et le serveur associe cette identité à ce compte. Renommer le fichier, modifier son nom affiché ou saisir d’autres identifiants à l’invite ne change pas l’association, et c’est pourquoi un profil copié échoue pour la seconde personne avec une erreur d’authentification ou de certificat plutôt qu’un problème de routage. Regardez dans le fichier si vous devez confirmer ce que vous avez :

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Le nombre de certificats vous indique qu’une identité est intégrée ; les lignes remote ne nomment que le serveur. Deux fichiers qui pointent vers le même serveur peuvent donc appartenir à des personnes différentes, et un fichier qui pointe vers deux serveurs reste lié à son propriétaire d’origine. Les profils verrouillés sur serveur et les profils à connexion automatique ont encore d’autres modèles d’usage autorisés : un profil verrouillé sur serveur attend des identifiants au moment de la connexion, et un profil à connexion automatique saute l’invite de mot de passe par conception. Aucun d’eux ne devient un autre type en modifiant le fichier.

Vérification 4 : confirmez que la politique autorise ce type

Quels types de profil existent est un réglage d’administrateur, pas une préférence client. Si le portail n’offre qu’un téléchargement verrouillé sur utilisateur, le serveur peut n’autoriser aucun autre type, ou en autoriser un que le groupe du compte ne reçoit pas. Demander à l’administrateur d’activer un autre type pour faire apparaître un bouton manquant est un changement de politique aux conséquences réelles, et retirer l’authentification multifacteur pour atteindre une page de téléchargement échange un contrôle d’authentification contre du confort.

Selon la version, l’interface web d’administration expose aussi la gestion des profils pour un utilisateur, où un administrateur peut émettre ou révoquer un profil sans se connecter en tant que cette personne. Là où cette capacité manque, l’utilisateur télécharge son propre fichier. Dans tous les cas, la source correcte est le compte prévu, jamais un profil d’administrateur copié et traité comme modèle.

Vérification 5 : remettez-le, puis gardez-le révocable

Traitez le téléchargement comme un matériel d’identification et non comme un fichier de configuration. Un profil verrouillé sur utilisateur contient une clé privée, il devrait donc voyager par un canal que vous utiliseriez pour un mot de passe, et non par un dossier de lecteur partagé ou un groupe de discussion. Notez quel utilisateur et quel appareil ont reçu quel fichier, car la révocation est par compte : quand un ordinateur portable est remplacé ou perdu, l’administrateur révoque l’accès de cet utilisateur et émet un nouveau profil, et l’ancien fichier cesse de fonctionner à la prochaine tentative de connexion.

Terminez par quatre vérifications dans cet ordre : la connexion au portail était l’utilisateur prévu, le fichier contient une identité et pas seulement une adresse de serveur, une connexion de test depuis le client prévu réussit, et une seconde connexion avec un autre compte échoue. Si la quatrième réussit, vous avez distribué le mauvais fichier, et la révocation est l’étape suivante plutôt qu’une modification de configuration. Le tutoriel de téléchargement d’Access Server montre la disposition actuelle du portail et la différence entre un profil et un installateur préconfiguré.