OpenVPN Access Server profil letöltése: a megfelelő fiók

A felhasználóhoz kötött Access Server profil egyetlen fiókhoz jön létre, és minden másikat elutasít, ezért a letöltési lépés dönti el, kié a fájl, mielőtt bármely ügyfélbeállítás számítana. Az alábbi sorrend az, amelyet mindenkinek adok, aki „a VPN-fájlt” kéri: jelentkezzen be azként, aki használni fogja, keresse meg a kiszolgálóverziójához tartozó vezérlőt, olvassa el, mihez van kötve a fájl, erősítse meg, hogy a szabályzat engedi ezt a típust, majd úgy adja át, hogy még vissza tudja vonni. Az első sikertelen lépésnél álljon meg; minden későbbi lépés feltételezi, hogy az előző teljesült.

1. ellenőrzés: a fiókkal jelentkezzen be, ne az adminisztrátorként

Az ügyfélportál a szokásos felhasználói felület, általában itt: https://vpn.example:943/, míg az adminisztráció itt található: https://vpn.example:943/admin. Ezek alapértelmezett példák; a gépnevek, portok és fordított proxyk megváltoztatják őket, ezért használja azt a címet, amelyet az üzemeltetője adott. Az adminisztrátori útvonalra való első belépés a leggyakoribb hibás lépés, mert az adminisztrátori munkamenet létrehozhat és kezelhet fiókokat, de nem az a fiók, amely az alagutat vinni fogja.

Ha a személy még nem tud bejelentkezni, álljon meg itt, és először azt javítsa: a jelszó-visszaállítás, a hiányzó csoport-hozzárendelés vagy egy csak importált hitelesítési bejegyzésként létező fiók blokkolja a letöltést, bármelyik böngészőt is próbálja. Az adminisztrátor saját munkamenetéből letöltve az adminisztrátor profilját kapja, és épp ez az a fájl, amely nem kerülhet valaki más laptopjára.

2. ellenőrzés: keresse meg a verziójához tartozó letöltésvezérlőt

Bejelentkezés után a portál a kapcsolatiprofil-vezérlőt az oldal felső része közelében mutatja. Az Access Server 2.14 és újabb verziói esetében az útmutató Kapcsolatiprofil szakaszként írja le, a „Töltse le a profilját alább” alatt. Ahol a portál előre konfigurált OpenVPN Connect telepítőt is kínál, ott két különböző átadásról van szó: az egyik a már csatolt profillal telepíti az ügyfelet, a másik fájlt ad a már meglévő ügyfélbe való importáláshoz.

A verzió itt számít. Egy régebbi portál másként címkézheti ugyanazt a gombot, és egy erősen testreszabott portál egy értesítés alá helyezheti. Ha a szakasz teljesen hiányzik, ne kezdjen URL-eket találgatni: menjen a szabályzatellenőrzéshez ahelyett, hogy útvonalakkal kísérletezne, mert a hiányzó vezérlő szinte mindig kiszolgálóoldali döntés.

3. ellenőrzés: olvassa el, mihez van kötve a fájl

A felhasználóhoz kötött profil egy felhasználónak kiadott, beágyazott ügyféltanúsítványt és kulcsot tartalmaz, és a kiszolgáló ezt az identitást ahhoz a fiókhoz rendeli. A fájl átnevezése, a megjelenő név szerkesztése vagy más hitelesítő adatok beírása a kérésnél nem változtatja meg a hozzárendelést, ezért egy lemásolt profil a második személynél hitelesítési vagy tanúsítványhibával hiúsul meg, nem útvonalválasztási problémával. Nézzen bele a fájlba, ha meg kell erősítenie, mi van a birtokában:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

A tanúsítványok száma elárulja, hogy identitás van beágyazva; a remote sorok csak a kiszolgálót nevezik meg. Ezért két ugyanarra a kiszolgálóra mutató fájl különböző embereké lehet, és egy fájl, amely két kiszolgálóra mutat, továbbra is az eredeti tulajdonosához kötődik. A kiszolgálóhoz kötött profilok és az automatikus bejelentkezésű profilok megint más engedélyezett használati modellel rendelkeznek: a kiszolgálóhoz kötött profil a csatlakozáskor vár hitelesítő adatokat, az automatikus bejelentkezésű profil pedig tervezésénél fogva kihagyja a jelszókérést. Egyik sem válik másik típussá a fájl szerkesztésével.

4. ellenőrzés: erősítse meg, hogy a szabályzat engedi ezt a típust

Hogy milyen profiltípusok léteznek, az adminisztrátori beállítás, nem ügyfélszintű preferencia. Ha a portál csak felhasználóhoz kötött letöltést kínál, a kiszolgáló lehet, hogy semmilyen más típust nem engedélyez, vagy olyat engedélyez, amelyet a fiók csoportja nem kap meg. Ha az adminisztrátortól egy másik típus engedélyezését kéri, hogy megjelenjen egy hiányzó gomb, az valós következményekkel járó szabályzatváltozás, a többtényezős hitelesítés eltávolítása pedig a letöltési oldal eléréséhez egy hitelesítési kontrollt cserél kényelemre.

Verziótól függően az adminisztrátori webes felület egy felhasználó profilkezelését is kínálja, ahol az adminisztrátor úgy adhat ki vagy vonhat vissza profilt, hogy nem jelentkezik be az adott személyként. Ahol ez a lehetőség hiányzik, a felhasználó a saját fájlját tölti le. Mindkét esetben a helyes forrás a szándékolt fiók, soha nem a sablonként kezelt, lemásolt adminisztrátori profil.

5. ellenőrzés: adja át, majd tartsa visszavonhatónak

A letöltést hitelesítőadat-anyagként kezelje, ne konfigurációs fájlként. A felhasználóhoz kötött profil privát kulcsot tartalmaz, ezért olyan csatornán kell utaznia, amelyet jelszóhoz használna, nem megosztott meghajtómappán vagy csevegőcsoporton keresztül. Jegyezze fel, melyik felhasználó és melyik eszköz melyik fájlt kapta, mert a visszavonás fiókonként történik: amikor egy laptopot lecserélnek vagy elveszítik, az adminisztrátor visszavonja az adott felhasználó hozzáférését és új profilt ad ki, a régi fájl pedig a következő csatlakozási kísérletnél már nem működik.

Négy ellenőrzéssel fejezze be ebben a sorrendben: a portálra a szándékolt felhasználó jelentkezett be, a fájl identitást tartalmaz, nem csak kiszolgálócímet, egy próbacsatlakozás a szándékolt ügyfélből sikerül, és egy második kapcsolat másik fiókkal meghiúsul. Ha a negyedik sikerül, rossz fájlt osztott szét, és a következő lépés a visszavonás, nem a konfiguráció szerkesztése. A Access Server letöltési útmutató a portál jelenlegi elrendezését és a profil, valamint az előre konfigurált telepítő közötti különbséget mutatja.