Como montar un perfil de cliente OpenVPN cos ficheiros emitidos

O seu operador entrégalle un paquete de CA, un certificado de cliente e a súa chave, e o cliente non arrincará ata que estean conectados nun só perfil. O perfil é configuración: apunta a eses ficheiros, non os contén, e editalo non pode convertelo nun certificado. O percorrido comeza nun portátil xa aprobado e remata cun perfil que pode iniciar desde un directorio coñecido. Non crea unha CA, non inscribe un certificado novo nin toca o servidor.

O obxectivo aquí é un cliente de liña de ordes OpenVPN 2.6 para Linux, encamiñado con TUN sobre UDP, con autenticación por certificado.

Reúne só os ficheiros do lado do cliente

Traballa nun directorio protexido e reúne o material de confianza da CA aprobado, o teu certificado de cliente emitido e a chave privada que lle corresponde. Neste exemplo os nomes son ca.crt, laptop-a.crt e laptop-a.key. Os nomes de ficheiro son só etiquetas; non din nada sobre o que contén cada ficheiro.

Se xeraches a chave durante a inscrición, nunca saíu da máquina; do emisor só deben volver o certificado asinado e a cadea pública. Comproba que o certificado leva o rol de cliente que espera o servizo. Comproba tamén que a chave pertence a ese certificado e non a un anterior dun intento previo. Unha parella que non coincide produce un fallo TLS moito máis tarde, que parece un problema do servidor.

Deixa a chave privada de sinatura da CA, a chave privada do servidor e os parámetros DH fóra deste paquete.

Conecta os ficheiros nun perfil pequeno

O perfil de abaixo é deliberadamente curto. Cada liña ou ben escolle o extremo, ou ben restrinxe a identidade que aceptará o cliente, ou ben apunta a un dos tres ficheiros.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

A liña remote escolle o extremo de rede. remote-cert-tls server esixe que o par presente un certificado con rol de servidor. verify-x509-name fixa o nome esperado, aquí vpn-gateway como Common Name do certificado do servidor co campo de nome predeterminado de OpenVPN. Ese valor non se infire do nome de host DNS, así que usa o esquema de identidade que proporcionase o operador.

Non descartes esas comprobacións só porque un extremo de proba mostre un certificado distinto.

Este perfil base supón que non hai un desafío de conta separado nin unha chave de canle de control. Se o servizo necesita auth-user-pass, tls-auth ou tls-crypt, conserva a configuración e o material que che deron, porque un segredo de canle de control xerado por ti non coincidirá co que garda o servidor. Conserva tamén a política de cifrado do servizo en lugar de importar liñas de compresión ou de cifrado dun exemplo antigo.

Fai explícito o directorio de traballo

As rutas relativas seguen o directorio de traballo do proceso, non a localización do ficheiro .ovpn.

Iso sorprende a quen move o perfil a un cartafol novo e espera que a chave o siga. Para un directorio escollido polo administrador, a orde de abaixo cambia a unha ruta absoluta antes de ler o perfil e as súas referencias.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Un asistente de importación de escritorio ou un servizo do sistema poden empaquetar as dependencias por ti e aplicar as súas propias regras. Tamén poden usar un directorio de traballo distinto do que probaches. Confirma como resolve o teu método de inicio as rutas da chave, o certificado e a CA. Mover só o ficheiro .ovpn non move a chave privada separada.

Mantén a chave lexible só para o usuario ou a identidade de servizo previstos.

Verifica a entrega, non os nomes de ficheiro

Antes da primeira conexión autorizada, comproba o extremo, a identidade do certificado, o emisor e a xanela de validez. Despois confirma que as referencias aos ficheiros se resolven desde o directorio de traballo que realmente usarás. Tras conectar, proba o comportamento da aplicación e do DNS que a política de encamiñamento debe proporcionar. Tres ficheiros lexibles non demostran nada sobre a autorización do servidor nin sobre unha ruta de recurso utilizábel.

Se aparece unha solicitude de frase de paso, pertence á chave privada, non a unha conta de VPN.

Por último, fai inventario do paquete como material de credenciais. Entregar o mesmo certificado e a mesma chave a un segundo portátil copia a identidade, e renomear o ficheiro non che dá unha segunda inscrición. Esa é a diferenza entre montar un perfil e emitilo.