Kako sastaviti klijentski profil OpenVPNa od izdanih datoteka

ovpn datoteka je konfiguracija, ne certifikat. Sastavite jedan klijentski profil od izdane CA, certifikata i ključa, pa pričvrstite identitet i direktorij.

Vaš operater predaje vam CA paket, klijentski certifikat i njegov ključ, a klijent se neće podići dok se oni ne povežu u jedan profil. Profil je konfiguracija: pokazuje na te datoteke, ne sadrži ih, i uređivanjem se ne može pretvoriti u certifikat. Vodič počinje na već odobrenom prijenosniku i završava profilom koji možete pokrenuti iz poznatog direktorija. On ne stvara CA, ne registrira novi certifikat i ne dira poslužitelj.

Ovdje je cilj OpenVPN 2.6 klijent naredbenog retka za Linux, usmjeren TUNom preko UDPa, s autentifikacijom certifikatom.

Prikupite samo datoteke s klijentske strane

Radite u zaštićenom direktoriju i prikupite odobreni CA materijal povjerenja, svoj izdani klijentski certifikat i privatni ključ koji mu odgovara. U ovom primjeru nazivi su ca.crt, laptop-a.crt i laptop-a.key. Nazivi datoteka samo su oznake; ne govore ništa o tome što svaka datoteka sadrži.

Ako ste ključ generirali tijekom upisa, nikada nije napustio računalo; od izdavatelja se moraju vratiti samo potpisani certifikat i javni lanac. Provjerite nosi li certifikat klijentsku ulogu koju usluga očekuje. Provjerite i da ključ pripada tom certifikatu, a ne ranijem iz prethodnog pokušaja. Neusklađeni par proizvodi TLS grešku mnogo kasnije, koja izgleda kao problem poslužitelja.

Ostavite privatni ključ za potpisivanje CA, privatni ključ poslužitelja i DH parametre izvan ovog paketa.

Povežite datoteke u mali profil

Profil u nastavku namjerno je kratak. Svaki redak ili odabire krajnju točku, ili ograničava identitet koji će klijent prihvatiti, ili pokazuje na jednu od tri datoteke.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Redak remote odabire mrežnu krajnju točku. remote-cert-tls server zahtijeva da drugi sudionik predoči certifikat s ulogom poslužitelja. verify-x509-name pričvršćuje očekivani naziv, ovdje vpn-gateway kao Common Name certifikata poslužitelja uz OpenVPNovo zadano polje naziva. Ta se vrijednost ne izvodi iz DNS imena hosta, zato upotrijebite identitetsku shemu koju je operater dao.

Nemojte odbaciti te provjere samo zato što testna krajnja točka pokazuje drugačiji certifikat.

Ovaj osnovni profil pretpostavlja da nema zasebnog izazova računa ni ključa kontrolnog kanala. Ako usluzi trebaju auth-user-pass, tls-auth ili tls-crypt, zadržite konfiguraciju i materijal koji ste dobili, jer tajna kontrolnog kanala koju sami generirate neće se podudarati s onom koju drži poslužitelj. Zadržite i šifrersku politiku usluge umjesto da uvozite retke za kompresiju ili šifru iz starog primjera.

Učinite radni direktorij eksplicitnim

Relativne staze slijede radni direktorij procesa, a ne lokaciju datoteke .ovpn.

To iznenađuje ljude koji premjeste profil u novu mapu i očekuju da će ključ krenuti za njim. Za direktorij koji odabere administrator, naredba u nastavku prelazi na apsolutnu stazu prije čitanja profila i njegovih referenci.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Čarobnjak za uvoz na radnoj površini ili sistemska usluga može umjesto vas zapakirati ovisnosti i primijeniti vlastita pravila. Može upotrijebiti i drugačiji radni direktorij od onog u kojem ste testirali. Provjerite kako vaš način pokretanja rješava staze ključa, certifikata i CA. Premještanje samo datoteke .ovpn ne premješta zasebni privatni ključ.

Držite ključ čitljivim samo za predviđenog korisnika ili identitet usluge.

Provjerite primopredaju, a ne nazive datoteka

Prije prvog autoriziranog spajanja provjerite krajnju točku, identitet certifikata, izdavatelja i razdoblje valjanosti. Zatim potvrdite da se reference datoteka rješavaju iz radnog direktorija koji ćete stvarno koristiti. Nakon spajanja testirajte ponašanje aplikacije i DNSa koje bi politika usmjeravanja trebala osigurati. Tri čitljive datoteke ne dokazuju ništa o autorizaciji poslužitelja ni o upotrebljivoj stazi do resursa.

Ako se pojavi upit za pristupnu frazu, ona pripada privatnom ključu, a ne VPN računu.

Na kraju, popišite paket kao vjerodajni materijal. Predaja istog certifikata i ključa drugom prijenosniku kopira identitet, a preimenovanje datoteke ne daje vam drugi upis. To je razlika između sastavljanja profila i njegova izdavanja.

Povezani članci