जारी फ़ाइलों से OpenVPN क्लाइंट प्रोफ़ाइल कैसे बनाएँ

आपका ऑपरेटर एक CA बंडल, क्लाइंट प्रमाणपत्र और उसकी कुंजी सौंपता है, और जब तक ये एक प्रोफ़ाइल में जोड़े नहीं जाते, क्लाइंट शुरू नहीं होगा। प्रोफ़ाइल कॉन्फ़िगरेशन है: यह उन फ़ाइलों की ओर इशारा करता है, उन्हें समाहित नहीं करता, और इसे संपादित करके प्रमाणपत्र नहीं बनाया जा सकता। यह मार्गदर्शिका पहले से स्वीकृत लैपटॉप से शुरू होती है और ऐसी प्रोफ़ाइल पर समाप्त होती है जिसे आप किसी ज्ञात निर्देशिका से शुरू कर सकते हैं। यह CA नहीं बनाती, नया प्रमाणपत्र पंजीकृत नहीं करती और सर्वर को नहीं छूती।

यहाँ लक्ष्य Linux के लिए OpenVPN 2.6 कमांड-लाइन क्लाइंट है, UDP पर TUN रूटेड, प्रमाणपत्र प्रमाणीकरण के साथ।

केवल क्लाइंट-पक्ष की फ़ाइलें एकत्र कीजिए

किसी संरक्षित निर्देशिका में काम कीजिए और स्वीकृत CA ट्रस्ट सामग्री, आपको जारी क्लाइंट प्रमाणपत्र तथा उससे मेल खाने वाली निजी कुंजी एकत्र कीजिए। इस उदाहरण में नाम ca.crt, laptop-a.crt और laptop-a.key हैं। फ़ाइल नाम केवल लेबल हैं; वे यह नहीं बताते कि प्रत्येक फ़ाइल में क्या है।

यदि आपने नामांकन के दौरान कुंजी बनाई थी, तो वह कभी मशीन से बाहर नहीं गई; जारीकर्ता से केवल हस्ताक्षरित प्रमाणपत्र और सार्वजनिक श्रृंखला वापस आनी चाहिए। जाँचिए कि प्रमाणपत्र में वह क्लाइंट भूमिका है जिसकी सेवा अपेक्षा करती है। यह भी जाँचिए कि कुंजी उसी प्रमाणपत्र की है, पिछले प्रयास के किसी पुराने प्रमाणपत्र की नहीं। बेमेल जोड़ी बहुत बाद में TLS विफलता उत्पन्न करती है, जो सर्वर की समस्या जैसी दिखती है।

CA की निजी हस्ताक्षर कुंजी, सर्वर की निजी कुंजी और DH पैरामीटर इस पैकेज से बाहर रखिए।

फ़ाइलों को एक छोटी प्रोफ़ाइल में जोड़िए

नीचे दी गई प्रोफ़ाइल जानबूझकर छोटी है। प्रत्येक पंक्ति या तो एंडपॉइंट चुनती है, या उस पहचान को सीमित करती है जिसे क्लाइंट स्वीकार करेगा, या तीन में से किसी एक फ़ाइल की ओर इशारा करती है।

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote पंक्ति नेटवर्क एंडपॉइंट चुनती है। remote-cert-tls server पर ज़ोर देता है कि सामने वाला पक्ष सर्वर-भूमिका वाला प्रमाणपत्र प्रस्तुत करे। verify-x509-name अपेक्षित नाम को पिन करता है, यहाँ vpn-gateway सर्वर प्रमाणपत्र के Common Name के रूप में OpenVPN के डिफ़ॉल्ट नाम फ़ील्ड के साथ। यह मान DNS होस्टनाम से नहीं निकाला जाता, इसलिए ऑपरेटर द्वारा दी गई पहचान योजना का उपयोग कीजिए।

केवल इसलिए उन जाँचों को न छोड़िए कि कोई परीक्षण एंडपॉइंट भिन्न प्रमाणपत्र दिखाता है।

यह आधार प्रोफ़ाइल मानती है कि कोई अलग खाता चुनौती और कोई नियंत्रण-चैनल कुंजी नहीं है। यदि सेवा को auth-user-pass, tls-auth या tls-crypt चाहिए, तो कॉन्फ़िगरेशन और आपको दी गई सामग्री रखिए, क्योंकि आपके द्वारा स्वयं बनाया गया नियंत्रण-चैनल रहस्य सर्वर के पास वाले से मेल नहीं खाएगा। पुराने उदाहरण से संपीड़न या सिफ़र पंक्तियाँ आयात करने के बजाय सेवा की सिफ़र नीति भी रखिए।

कार्य निर्देशिका स्पष्ट कीजिए

सापेक्ष पथ प्रक्रिया की कार्य निर्देशिका का पालन करते हैं, .ovpn फ़ाइल के स्थान का नहीं।

यह उन लोगों को चौंकाता है जो प्रोफ़ाइल को नए फ़ोल्डर में ले जाते हैं और अपेक्षा करते हैं कि कुंजी साथ जाएगी। प्रशासक द्वारा चुनी गई निर्देशिका के लिए, नीचे दिया गया कमांड प्रोफ़ाइल और उसके संदर्भों को पढ़ने से पहले पूर्ण पथ में जाता है।

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

डेस्कटॉप आयात विज़ार्ड या कोई सिस्टम सेवा आपके लिए निर्भरताएँ पैकेज कर सकती है और अपने नियम लागू कर सकती है। यह उस निर्देशिका से भिन्न कार्य निर्देशिका भी उपयोग कर सकती है जिसमें आपने परीक्षण किया था। पुष्टि कीजिए कि आपकी लॉन्च विधि कुंजी, प्रमाणपत्र और CA के पथ कैसे हल करती है। केवल .ovpn फ़ाइल को स्थानांतरित करने से अलग निजी कुंजी नहीं हिलती।

कुंजी को केवल इच्छित उपयोगकर्ता या सेवा पहचान के लिए पठनीय रखिए।

फ़ाइल नाम नहीं, हस्तांतरण सत्यापित कीजिए

पहले अधिकृत कनेक्शन से पहले एंडपॉइंट, प्रमाणपत्र की पहचान, जारीकर्ता और वैधता अवधि जाँचिए। फिर पुष्टि कीजिए कि फ़ाइल संदर्भ उसी कार्य निर्देशिका से हल होते हैं जिसे आप वास्तव में उपयोग करेंगे। कनेक्ट करने के बाद वह एप्लिकेशन और DNS व्यवहार जाँचिए जो रूटिंग नीति को प्रदान करना चाहिए। तीन पठनीय फ़ाइलें सर्वर प्राधिकरण या किसी उपयोगी संसाधन पथ के बारे में कुछ सिद्ध नहीं करतीं।

यदि पासफ़्रेज़ संकेत दिखाई दे, तो वह निजी कुंजी का है, VPN खाते का नहीं।

अंत में, पैकेज की क्रेडेंशियल सामग्री के रूप में सूची बनाइए। वही प्रमाणपत्र और कुंजी दूसरे लैपटॉप को देना पहचान की नकल करता है, और फ़ाइल का नाम बदलने से आपको दूसरा नामांकन नहीं मिलता। प्रोफ़ाइल जोड़ने और उसे जारी करने के बीच यही अंतर है।