הורדת פרופיל OpenVPN Access Server: החשבון הנכון

פרופיל Access Server הנעול למשתמש נוצר עבור חשבון אחד ומסרב לכל חשבון אחר, ולכן שלב ההורדה קובע למי שייך הקובץ לפני שכל הגדרה בצד הלקוח חשובה. הסדר שלמטה הוא זה שאני נותן לכל מי שמבקש „את קובץ ה-VPN“: היכנסו בתור האדם שישתמש בו, מצאו את הפקד המתאים לגרסת השרת שלכם, קראו למה הקובץ נעול, ודאו שהמדיניות מתירה את הסוג הזה, ואז מסרו אותו בדרך שעדיין מאפשרת לכם לבטל. עצרו בשלב הראשון שנכשל; כל שלב אחריו מניח שהקודם התקיים.

בדיקה 1: היכנסו בתור החשבון, לא בתור המנהל

פורטל הלקוח הוא ממשק המשתמש הרגיל, בדרך כלל בכתובת https://vpn.example:943/, ואילו הניהול נמצא בכתובת https://vpn.example:943/admin. אלה דוגמאות ברירת מחדל; שמות מארח, פורטים ופרוקסים הפוכים משנים אותן, לכן השתמשו בכתובת שנותן לכם המפעיל. כניסה קודם לנתיב הניהול היא הטעות הנפוצה ביותר, כי הפעלה של מנהל יכולה ליצור ולנהל חשבונות אך היא אינה החשבון שיישא את המנהרה.

אם האדם עדיין אינו יכול להיכנס, עצרו כאן ותקנו זאת קודם: איפוס סיסמה, שיוך קבוצה חסר או חשבון שקיים רק כרשומת אימות מיובאת יחסמו את ההורדה בכל דפדפן שתנסו. הורדה מההפעלה של המנהל עצמו מפיקה את הפרופיל של המנהל, וזה בדיוק הקובץ שאסור שיגיע למחשב הנייד של אדם אחר.

בדיקה 2: מצאו את פקד ההורדה עבור הגרסה שלכם

לאחר הכניסה, הפורטל מציג פקד של פרופיל חיבור ליד ראש העמוד. עבור Access Server 2.14 וגרסאות חדשות יותר, המדריך מתאר אותו כקטע פרופיל חיבור תחת „הורידו את הפרופיל שלכם למטה“. במקום שבו הפורטל גם מציע מתקין OpenVPN Connect מוגדר מראש, מדובר בשתי מסירות שונות: האחת מתקינה את הלקוח עם הפרופיל כבר מחובר, והאחרת נותנת לכם קובץ לייבוא בלקוח שכבר יש לכם.

הגרסה חשובה כאן. פורטל ישן יותר עשוי לתייג את אותו כפתור אחרת, ופורטל מותאם מאוד יכול להעביר אותו מתחת להודעה. אם הקטע חסר לגמרי, אל תתחילו לנחש כתובות URL: עברו לבדיקת המדיניות במקום להתנסות בנתיבים, כי פקד חסר הוא כמעט תמיד החלטה בצד השרת.

בדיקה 3: קראו למה הקובץ נעול

פרופיל הנעול למשתמש נושא תעודת לקוח ומפתח מוטמעים שהונפקו למשתמש אחד, והשרת ממפה את הזהות הזו לאותו חשבון. שינוי שם הקובץ, עריכת שם התצוגה או הקלדת פרטי התחברות אחרים בהנחיה אינם משנים את המיפוי, ולכן פרופיל שהועתק נכשל אצל האדם השני בשגיאת אימות או תעודה ולא בבעיית ניתוב. הסתכלו בתוך הקובץ אם עליכם לוודא מה יש לכם:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

מספר התעודות אומר לכם שזהות מוטמעת; השורות remote מציינות רק את השרת. לכן שני קבצים שמצביעים לאותו שרת יכולים להיות של אנשים שונים, וכן קובץ אחד שמצביע לשני שרתים עדיין קשור לבעליו המקורי. לפרופילים נעולים לשרת ולפרופילים עם התחברות אוטומטית יש שוב מודלי שימוש מותרים שונים: פרופיל נעול לשרת מצפה לפרטי התחברות בזמן החיבור, ופרופיל עם התחברות אוטומטית מדלג על הנחיית הסיסמה לפי התכנון. אף אחד מהם לא הופך לסוג אחר על ידי עריכת הקובץ.

בדיקה 4: ודאו שהמדיניות מתירה את הסוג הזה

אילו סוגי פרופיל קיימים הוא הגדרה של המנהל, לא העדפה של הלקוח. אם הפורטל מציע רק הורדה נעולה למשתמש, השרת אולי אינו מתיר סוג אחר, או מתיר כזה שקבוצת החשבון אינה מקבלת. בקשה מהמנהל להפעיל סוג אחר כדי שכפתור חסר יופיע היא שינוי מדיניות עם השלכות ממשיות, והסרת אימות רב-גורמי כדי להגיע לעמוד הורדה מחליפה פיקוח אימות בנוחות.

בהתאם לגרסה, ממשק האינטרנט הניהולי חושף גם ניהול פרופילים עבור משתמש, שבו מנהל יכול להנפיק או לבטל פרופיל בלי להיכנס בתור אותו אדם. במקום שבו היכולת הזו חסרה, המשתמש מוריד את הקובץ שלו עצמו. בכל מקרה, המקור הנכון הוא החשבון המיועד, ולעולם לא פרופיל של מנהל שהועתק ומשמש כתבנית.

בדיקה 5: מסרו אותו, ואז שמרו עליו שניתן לביטול

התייחסו להורדה כאל חומר אימות ולא כאל קובץ תצורה. פרופיל הנעול למשתמש מכיל מפתח פרטי, ולכן צריך לעבור בערוץ שהייתם משתמשים בו לסיסמה, ולא בתיקיית כונן משותפת או בקבוצת צ׳אט. תַּעדו איזה משתמש ואיזה מכשיר קיבלו איזה קובץ, כי הביטול הוא לפי חשבון: כשמחשב נייד מוחלף או הולך לאיבוד, המנהל מבטל את הגישה של אותו משתמש ומנפיק פרופיל חדש, והקובץ הישן מפסיק לעבוד בניסיון החיבור הבא.

סיימו בארבע בדיקות בסדר הזה: הכניסה לפורטל הייתה של המשתמש המיועד, הקובץ מכיל זהות ולא רק כתובת שרת, חיבור בדיקה אחד מהלקוח המיועד מצליח, וחיבור שני עם חשבון אחר נכשל. אם הרביעי מצליח, הפצתם את הקובץ הלא נכון, והביטול הוא הצעד הבא ולא עריכת תצורה. ראו את מדריך ההורדה של Access Server שמראה את פריסת הפורטל הנוכחית ואת ההבדל בין פרופיל לבין מתקין מוגדר מראש.