Hogyan állítsunk össze OpenVPN-ügyfélprofilt a kiadott fájlokból

A szolgáltatója átad egy CA-csomagot, egy ügyféltanúsítványt és annak kulcsát, és az ügyfél addig nem indul el, amíg ezeket egy profilba nem kötik. A profil konfiguráció: ezekre a fájlokra mutat, nem tartalmazza őket, és szerkesztéssel nem lehet tanúsítvánnyá alakítani. A bemutató egy már jóváhagyott laptopon kezdődik és egy ismert könyvtárból indítható profillal végződik. Nem hoz létre CA-t, nem regisztrál új tanúsítványt, és nem nyúl a szerverhez.

A cél itt egy Linuxos OpenVPN 2.6 parancssori ügyfél, TUN-nal UDP fölött átirányítva, tanúsítványos hitelesítéssel.

Csak az ügyféloldali fájlokat gyűjtse össze

Dolgozzon védett könyvtárban, és gyűjtse össze a jóváhagyott CA bizalmi anyagot, a kiadott ügyféltanúsítványt és a hozzá tartozó privát kulcsot. Ebben a példában a nevek ca.crt, laptop-a.crt és laptop-a.key. A fájlnevek csak címkék; semmit nem mondanak arról, mit tartalmaz az egyes fájlok.

Ha a kulcsot a regisztráció során generálta, az soha nem hagyta el a gépet; a kiadótól csak az aláírt tanúsítványnak és a nyilvános láncnak kell visszajönnie. Ellenőrizze, hogy a tanúsítvány hordozza-e a szolgáltatás által elvárt ügyfélszerepet. Azt is ellenőrizze, hogy a kulcs ehhez a tanúsítványhoz tartozik, és nem egy korábbi próbálkozás régebbi példányához. A nem illeszkedő pár sokkal később TLS-hibát okoz, amely szerverproblémának tűnik.

Hagyja a CA privát aláírókulcsát, a szerver privát kulcsát és a DH-paramétereket ezen a csomagon kívül.

Kapcsolja a fájlokat egy kis profilba

Az alábbi profil szándékosan rövid. Minden sor vagy a végpontot választja, vagy korlátozza az identitást, amelyet az ügyfél elfogad, vagy az egyik három fájlra mutat.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

A(z) remote sor a hálózati végpontot választja. A(z) remote-cert-tls server ragaszkodik ahhoz, hogy a partner szerver-szerepű tanúsítványt mutasson be. A(z) verify-x509-name rögzíti az elvárt nevet, itt vpn-gateway a szervertanúsítvány Common Name-jeként az OpenVPN alapértelmezett névmezőjével. Ez az érték nem a DNS-gépnévből származik, ezért használja a szolgáltató által megadott identitássémát.

Ne dobja el ezeket az ellenőrzéseket csak azért, mert egy tesztvégpont más tanúsítványt mutat.

Ez az alap profil nem feltételez külön fiókkihívást és vezérlőcsatorna-kulcsot. Ha a szolgáltatásnak auth-user-pass, tls-auth vagy tls-crypt kell, tartsa meg a konfigurációt és a kapott anyagot, mert a saját maga által generált vezérlőcsatorna-titok nem fog egyezni a szerveréval. Tartsa meg a szolgáltatás titkosítási szabályzatát is, ahelyett hogy régi példából importálna tömörítési vagy titkosítási sorokat.

Tegye egyértelművé a munkakönyvtárat

A relatív útvonalak a folyamat munkakönyvtárát követik, nem a(z) .ovpn fájl helyét.

Ez meglep valakit, aki új mappába mozgatja a profilt, és azt várja, hogy a kulcs követi. Az adminisztrátor által választott könyvtárhoz az alábbi parancs abszolút útvonalra vált, mielőtt beolvassa a profilt és annak hivatkozásait.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Egy asztali importálóvarázsló vagy rendszerszolgáltatás csomagolhatja helyetted a függőségeket, és saját szabályokat alkalmazhat. Más munkakönyvtárat is használhat, mint amelyikben tesztelt. Ellenőrizze, hogyan oldja fel az indítási módja a kulcs, a tanúsítvány és a CA útvonalait. Csak a(z) .ovpn fájl mozgatása nem mozgatja a külön privát kulcsot.

A kulcsot csak a szándékolt felhasználó vagy szolgáltatásidentitás számára tartsa olvashatónak.

Az átadást ellenőrizze, ne a fájlneveket

Az első engedélyezett kapcsolat előtt ellenőrizze a végpontot, a tanúsítvány identitását, a kiadót és az érvényességi ablakot. Ezután erősítse meg, hogy a fájlhivatkozások abból a munkakönyvtárból oldódnak fel, amelyet ténylegesen használni fog. Kapcsolódás után tesztelje az alkalmazás és a DNS viselkedését, amelyet az útválasztási szabályzatnak biztosítania kell. Három olvasható fájl semmit sem bizonyít a szerverengedélyezésről vagy egy használható erőforrás-útvonalról.

Ha jelszófrázis-kérés jelenik meg, az a privát kulcshoz tartozik, nem egy VPN-fiókhoz.

Végül leltározza a csomagot hitelesítő anyagként. Ugyanazon tanúsítvány és kulcs átadása egy második laptopnak lemásolja az identitást, és a fájl átnevezése nem ad második regisztrációt. Ez a különbség egy profil összeállítása és kiadása között.