Hoe't jo in OpenVPN-klantprofyl út útjûne bestannen gearstalle

In ovpn-bestân is konfiguraasje, gjin sertifikaat. Bou ien klantprofyl út 'e útjûne CA, it sertifikaat en de kaai, en fêstigje dan identiteit en map.

Jo operator oerhandiget in CA-bondel, in kliïntsertifikaat en de kaai dêrfan, en de klant sil net opstarte ear't se yn ien profyl ferbûn binne. It profyl is konfiguraasje: it wiist nei dy bestannen, it befettet se net, en troch it te bewurkjen wurdt it gjin sertifikaat. De gids begjint by in al goedkarde laptop en einiget mei in profyl dat jo út in bekende map starte kinne. It makket gjin CA oan, registrearret gjin nij sertifikaat en rekket de server net oan.

It doel hjir is in Linux-OpenVPN 2.6-kommandorigelklant, rûtearre TUN oer UDP, mei sertifikaatferifikaasje.

Sammelje allinnich de bestannen fan 'e kliïntkant

Wurkje yn in beskerme map en sammelje it goedkarde CA-fertrouwensmateriaal, jo útjûne kliïntsertifikaat en de partikuliere kaai dy't dêrby past. Yn dit foarbyld binne de nammen ca.crt, laptop-a.crt en laptop-a.key. De bestânsnammen binne allinnich labels; se sizze neat oer wat elk bestân befettet.

As jo de kaai by de ynskriuwing makke hawwe, hat dy de masine nea ferlitten; fan 'e útjouwer moatte allinnich it ûndertekene sertifikaat en de iepenbiere keatling weromkomme. Kontrolearje oft it sertifikaat de klantrol draacht dy't de tsjinst ferwachtet. Kontrolearje ek oft de kaai by dat sertifikaat heart en net by in eardere út in foarige poging. In pear dat net past, jout folle letter in TLS-flater, ien dy't op in serverprobleem liket.

Lit de partikuliere ûndertekenkaai fan 'e CA, de partikuliere kaai fan 'e server en de DH-parameters bûten dit pakket.

Ferbyn de bestannen yn in lyts profyl

It profyl hjirûnder is bewust koart. Eltse rigel kiest óf it einpunt, beheint óf de identiteit dy't de klant akseptearret, óf wiist nei ien fan 'e trije bestannen.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

De rigel remote kiest it netwurkeinpunt. remote-cert-tls server easket dat de tsjinpartij in sertifikaat mei serverrol presintearret. verify-x509-name fêstiget de ferwachte namme, hjir vpn-gateway as Common Name fan it serversertifikaat mei OpenVPN syn standert nammejild. Dy wearde wurdt net út 'e DNS-hostnamme ôflaat, brûk dus it identiteitsskema dat de operator levere hat.

Lit dy kontrôles net falle, allinnich om't in testeinpunt in oar sertifikaat sjen lit.

Dit basisprofyl giet derfan út dat der gjin aparte akkountútdaging en gjin kaai foar it kontrôlekanaal is. As de tsjinst auth-user-pass, tls-auth of tls-crypt nedich hat, hâld dan de konfiguraasje en it materiaal dat jo krigen hawwe, want in sels makke geheim foar it kontrôlekanaal sil net oerienkomme mei dat fan 'e server. Hâld ek it sjiferbelied fan 'e tsjinst oan ynstee fan kompresje- of sjiferrigels út in âld foarbyld te ymportearjen.

Meitsje de wurkmap eksplisyt

Relative paden folgje de wurkmap fan it proses, net it plak fan it bestân .ovpn.

Dat fernuveret minsken dy't it profyl nei in nije map ferpleatse en ferwachtsje dat de kaai folget. Foar in map dy't de behearder keazen hat, giet it kommando hjirûnder nei in absolúút paad foar't it profyl en syn ferwizings lêst.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

In ymportassistint foar it buroblêd of in systeemtsjinst kin de ôfhinklikheden foar jo ferpakke en syn eigen regels tapasse. It kin ek in oare wurkmap brûke as dy't jo test hawwe. Befêstigje hoe't jo startmetoade de paden nei kaai, sertifikaat en CA oplost. Allinnich it bestân .ovpn ferpleatse ferpleatst de aparte partikuliere kaai net.

Hâld de kaai allinnich lêsber foar de bedoelde brûker of tsjinstidentiteit.

Ferifiearje de oerdracht, net de bestânsnammen

Kontrolearje foar de earste autorisearre ferbining it einpunt, de sertifikaatidentiteit, de útjouwer en it jildichheidsfinster. Befêstigje dêrnei dat de bestânsferwizings oplost wurde út 'e wurkmap dy't jo echt brûke sille. Test nei it ferbinen it gedrach fan 'e applikaasje en DNS dat it rûtebelied leverje moat. Trije lêsbere bestannen bewiist neat oer serverautorisatie of oer in brûkber boarnepaad.

As der in parolfraach ferskynt, heart dy by de partikuliere kaai, net by in VPN-akkount.

Ta beslút, ynspektearje it pakket as legitimaasjemateriaal. Deselde sertifikaat en kaai oan in twadde laptop jaan kopiearret de identiteit, en it bestân omneame jout jo gjin twadde ynskriuwing. Dat is it ferskil tusken in profyl gearstalle en it útjaan.

Relatearre artikelen