Conas próifíl cliaint OpenVPN a chur le chéile ó chomhaid eisithe

Tugann d'oibreoir beart CA, deimhniú cliaint agus a eochair duit, agus ní thiocfaidh an cliant aníos go dtí go mbeidh siad sreangaithe i bpróifíl amháin. Is cumraíocht an phróifíl: díríonn sí ar na comhaid sin, ní chuimsíonn sí iad, agus ní féidir í a iompú ina deimhniú trína heagarthóireacht. Tosaíonn an treoir ó ríomhaire glúine atá ceadaithe cheana féin agus críochnaíonn sí le próifíl ar féidir leat a thosú ó eolaire ar eolas. Ní chruthaíonn sí CA, ní chláraíonn sí deimhniú nua agus ní théann sí i dteagmháil leis an bhfreastalaí.

Is é an sprioc anseo cliant líne ordaithe OpenVPN 2.6 do Linux, ródaithe le TUN thar UDP, le fíordheimhniú deimhnithe.

Bailigh comhaid thaobh an chliaint amháin

Oibrigh in eolaire cosanta agus bailigh an t-ábhar iontaobhais CA ceadaithe, do dheimhniú cliaint eisithe agus an eochair phríobháideach a thagann leis. San sampla seo is iad na hainmneacha ca.crt, laptop-a.crt agus laptop-a.key. Níl in ainmneacha comhad ach lipéid; ní deir siad faic faoin méid atá i ngach comhad.

Má ghiniúin tú an eochair le linn an chlárúcháin, níor fhág sí an meaisín riamh; ní gá ach an deimhniú sínithe agus an slabhra poiblí a theacht ar ais ón eisitheoir. Seiceáil go bhfuil ról an chliaint ag an deimhniú a bhfuiltear ag súil leis ón tseirbhís. Seiceáil freisin gur leis an deimhniú sin an eochair, agus nach le ceann níos luaithe ó iarracht roimhe seo. Cruthaíonn péire nach bhfuil ag teacht le chéile teip TLS i bhfad níos déanaí, ceann a fhéachann cosúil le fadhb fhreastalaí.

Fág eochair shíniú phríobháideach an CA, eochair phríobháideach an fhreastalaí agus na paraiméadair DH lasmuigh den phacáiste seo.

Sreangaigh na comhaid i bpróifíl bheag

Tá an phróifíl thíos gearr d'aon ghnó. Roghnaíonn gach líne an pointe deiridh, cuireann sí teorainn leis an bhféiniúlacht a ghlacfaidh an cliant, nó díríonn sí ar cheann de na trí chomhad.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Roghnaíonn líne remote pointe deiridh an líonra. Éilíonn remote-cert-tls server go gcuirfeadh an piara deimhniú le ról freastalaí i láthair. Socraíonn verify-x509-name an t-ainm a bhfuiltear ag súil leis, anseo vpn-gateway mar Common Name ar dheimhniú an fhreastalaí le réimse ainm réamhshocraithe OpenVPN. Ní dhéantar an luach sin a bhaint as ainm óstaigh DNS, mar sin úsáid an scéim féiniúlachta a thug an t-oibreoir.

Ná caith na seiceálacha sin amach díreach toisc go dtaispeánann pointe deiridh tástála deimhniú difriúil.

Glacann an phróifíl bhoinn seo leis nach bhfuil dúshlán cuntais ar leithligh ann agus nach bhfuil eochair don chainéal rialaithe ann. Má theastaíonn auth-user-pass, tls-auth nó tls-crypt ón tseirbhís, coinnigh an chumraíocht agus an t-ábhar a tugadh duit, mar ní thiocfaidh rún cainéil rialaithe a ghineann tú féin leis an gceann atá ag an bhfreastalaí. Coinnigh polasaí sifir na seirbhíse freisin in ionad línte comhbhrúite nó sifir a allmhairiú ó shean-shampla.

Déan an t-eolaire oibre soiléir

Leanann cosáin choibhneasta eolaire oibre an phróisis, ní suíomh an chomhaid .ovpn.

Cuireann sé sin iontas ar dhaoine a bhogann an phróifíl go fillteán nua agus a mbíonn súil acu go leanfaidh an eochair í. I gcás eolaire a roghnaíonn an riarthóir, athraíonn an t-ordú thíos go cosán iomlán sula léann sé an phróifíl agus a tagairtí.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Féadfaidh draoi allmhairithe deisce nó seirbhís chórais na spleáchais a phacáil duit agus a rialacha féin a chur i bhfeidhm. Féadfaidh sé eolaire oibre difriúil a úsáid freisin ón gceann a thástáil tú ann. Deimhnigh conas a réitíonn do mhodh seolta na cosáin chuig an eochair, an deimhniú agus an CA. Ní aistríonn bogadh an chomhaid .ovpn amháin an eochair phríobháideach ar leithligh.

Coinnigh an eochair inléite don úsáideoir nó don fhéiniúlacht seirbhíse atá beartaithe amháin.

Fíoraigh an t-aistriú, ní na hainmneacha comhad

Roimh an gcéad nasc údaraithe, seiceáil an pointe deiridh, féiniúlacht an deimhnithe, an t-eisitheoir agus an fhuinneog bailíochta. Ansin deimhnigh go réitítear tagairtí comhad ón eolaire oibre a úsáidfidh tú i ndáiríre. Tar éis nascadh, tástáil iompar an fheidhmchláir agus DNS a bhfuiltear ag súil go soláthróidh an polasaí ródaithe. Ní chruthaíonn trí chomhad inléite aon rud faoi údarú freastalaí ná faoi chosán acmhainne inúsáidte.

Má thagann leid frása faire, baineann sí leis an eochair phríobháideach, ní le cuntas VPN.

Ar deireadh, déan fardal den phacáiste mar ábhar dintiúr. Má thugtar an deimhniú agus an eochair chéanna do dhara ríomhaire glúine, cóipeáiltear an fhéiniúlacht, agus ní thugann athainmniú an chomhaid clárú dara duit. Sin an difríocht idir próifíl a chur le chéile agus í a eisiúint.