Descarga do perfil de OpenVPN Access Server: a conta correcta

Un perfil de Access Server bloqueado por usuario xérase para unha conta e rexeita calquera outra, así que o paso de descarga decide a quen pertence o ficheiro antes de que importe calquera axuste do cliente. A orde seguinte é a que dou a quen pide «o ficheiro VPN»: inicie sesión como a persoa que o vai usar, atope o control para a súa versión do servidor, lea a que está bloqueado o ficheiro, confirme que a política permite ese tipo e despois entrégueo dun xeito no que aínda poida revogalo. Detéñase no primeiro paso que falle; cada paso posterior supón que o anterior se cumpriu.

Comprobación 1: inicie sesión como a conta, non como o administrador

O portal do cliente é a interface de usuario habitual, normalmente en https://vpn.example:943/, mentres que a administración está en https://vpn.example:943/admin. Estes son exemplos predeterminados; os nomes de host, os portos e os proxies inversos cambianos, así que use o enderezo que lle deu o seu operador. Iniciar sesión primeiro na ruta de administración é o paso equivocado máis común, porque a sesión de administración pode crear e xestionar contas pero non é a conta que levará o túnel.

Se a persoa aínda non pode iniciar sesión, detéñase aquí e arranxe iso primeiro: un restablecemento de contrasinal, unha asignación de grupo que falta ou unha conta que só existe como entrada de autenticación importada bloquearán a descarga sexa cal sexa o navegador que probe. Descargar desde a propia sesión do administrador produce o perfil do administrador, e é exactamente o ficheiro que non debe acabar no portátil doutra persoa.

Comprobación 2: atope o control de descarga para a súa versión

Unha vez iniciada a sesión, o portal mostra un control de perfil de conexión preto da parte superior da páxina. Para Access Server 2.14 e posteriores, o titorial descríbeo como unha sección Perfil de conexión baixo «Descargue o seu perfil a continuación». Cando o portal tamén ofrece un instalador de OpenVPN Connect preconfigurado, son dúas entregas distintas: un instala o cliente co perfil xa anexado e o outro dálle un ficheiro para importar nun cliente que xa ten.

A versión importa aquí. Un portal máis antigo pode etiquetar o mesmo botón doutro xeito, e un portal moi personalizado pode movelo debaixo dun aviso. Se a sección falta por completo, non comece a adiviñar URL: pase á comprobación de política en lugar de experimentar con rutas, porque un control que falta case sempre é unha decisión do lado do servidor.

Comprobación 3: lea a que está bloqueado o ficheiro

Un perfil bloqueado por usuario leva un certificado de cliente e unha chave incrustados emitidos para un usuario, e o servidor asigna esa identidade a esa conta. Renomear o ficheiro, editar o seu nome visible ou escribir credenciais distintas no aviso non cambia a asignación, e por iso un perfil copiado falla para a segunda persoa cun erro de autenticación ou de certificado en lugar dun problema de enrutamento. Mire dentro do ficheiro se necesita confirmar o que ten:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

A conta de certificados dille que hai unha identidade incrustada; as liñas remote só nomean o servidor. Por tanto, dous ficheiros que apuntan ao mesmo servidor poden pertencer a persoas distintas, e un ficheiro que apunta a dous servidores segue ligado ao seu propietario orixinal. Os perfís bloqueados por servidor e os de inicio de sesión automático teñen outra vez modelos de uso permitidos diferentes: un perfil bloqueado por servidor espera credenciais no momento de conectar, e un perfil de inicio de sesión automático omite o aviso de contrasinal por deseño. Ningún deles se converte noutro tipo editando o ficheiro.

Comprobación 4: confirme que a política permite ese tipo

Que tipos de perfil existen é un axuste do administrador, non unha preferencia do cliente. Se o portal só ofrece unha descarga bloqueada por usuario, o servidor pode non permitir ningún outro tipo, ou pode permitir un que o grupo da conta non recibe. Pedir ao administrador que habilite outro tipo para que apareza un botón que falta é un cambio de política con consecuencias reais, e quitar a autenticación multifactor para chegar a unha páxina de descarga cambia un control de autenticación por comodidade.

Segundo a versión, a interface web de administración tamén expón a xestión de perfís para un usuario, onde un administrador pode emitir ou revogar un perfil sen iniciar sesión como esa persoa. Onde falta esa capacidade, o usuario descarga o seu propio ficheiro. En calquera caso, a fonte correcta é a conta prevista, nunca un perfil de administrador copiado tratado como modelo.

Comprobación 5: entregue o ficheiro e despois mantéñao revogable

Trate a descarga como material de credenciais e non como un ficheiro de configuración. Un perfil bloqueado por usuario contén unha chave privada, así que debe viaxar por unha canle que usaría para un contrasinal, non por un cartafol compartido do disco nin por un grupo de chat. Anote que usuario e que dispositivo recibiron que ficheiro, porque a revogación é por conta: cando un portátil se substitúe ou se perde, o administrador revoga o acceso dese usuario e emite un perfil novo, e o ficheiro antigo deixa de funcionar no seguinte intento de conexión.

Remate con catro comprobacións nesta orde: o inicio de sesión no portal era o usuario previsto, o ficheiro contén unha identidade e non só un enderezo de servidor, unha conexión de proba desde o cliente previsto ten éxito e unha segunda conexión con outra conta falla. Se a cuarta ten éxito, distribuíu o ficheiro equivocado, e a revogación é o seguinte paso en lugar dunha edición da configuración. O titorial de descarga de Access Server mostra a disposición actual do portal e a diferenza entre un perfil e un instalador preconfigurado.