Ինչպես հավաքել OpenVPN հաճախորդի պրոֆիլ թողարկված ֆայլերից

Ձեր օպերատորը հանձնում է CA փաթեթ, հաճախորդի վկայագիր և դրա բանալին, և հաճախորդը չի գործարկվի, քանի դեռ դրանք միացված չեն մեկ պրոֆիլում։ Պրոֆիլը կոնֆիգուրացիա է. այն մատնանշում է այդ ֆայլերին, չի պարունակում դրանք, և խմբագրելով հնարավոր չէ այն վկայագիր դարձնել։ Ուղեցույցը սկսվում է արդեն հաստատված դյուրակիր համակարգչից և ավարտվում է պրոֆիլով, որը կարող եք գործարկել հայտնի թղթապանակից։ Այն չի ստեղծում CA, չի գրանցում նոր վկայագիր և չի դիպչում սերվերին։

Այստեղ նպատակը Linux-ի համար OpenVPN 2.6 հրամանի տողի հաճախորդն է՝ TUN-ով երթուղավորված UDP-ի վրայով, վկայագրային նույնականացմամբ։

Հավաքեք միայն հաճախորդի կողմի ֆայլերը

Աշխատեք պաշտպանված թղթապանակում և հավաքեք հաստատված CA վստահության նյութը, ձեզ թողարկված հաճախորդի վկայագիրը և դրան համապատասխանող գաղտնի բանալին։ Այս օրինակում անուններն են ca.crt, laptop-a.crt և laptop-a.key։ Ֆայլերի անունները միայն պիտակներ են. դրանք ոչինչ չեն ասում յուրաքանչյուր ֆայլի բովանդակության մասին։

Եթե բանալին ստեղծել եք գրանցման ընթացքում, այն երբեք չի լքել մեքենան. թողարկողից պետք է վերադառնան միայն ստորագրված վկայագիրը և հանրային շղթան։ Ստուգեք, որ վկայագիրը կրում է ծառայության սպասած հաճախորդի դերը։ Ստուգեք նաև, որ բանալին պատկանում է այդ վկայագրին, ոչ թե նախորդ փորձից ավելի հին վկայագրի։ Չհամապատասխան զույգը շատ ավելի ուշ TLS ձախողում է առաջացնում, որը սերվերի խնդիր է թվում։

CA-ի գաղտնի ստորագրող բանալին, սերվերի գաղտնի բանալին և DH պարամետրերը թողեք այս փաթեթից դուրս։

Միացրեք ֆայլերը փոքր պրոֆիլի մեջ

Ստորև պրոֆիլը միտումնավոր կարճ է։ Յուրաքանչյուր տող կամ ընտրում է վերջնակետը, կամ սահմանափակում է այն ինքնությունը, որը հաճախորդը կընդունի, կամ մատնանշում է երեք ֆայլերից մեկին։

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote տողը ընտրում է ցանցի վերջնակետը։ remote-cert-tls server պնդում է, որ մյուս կողմը ներկայացնի սերվերի դերով վկայագիր։ verify-x509-name ամրացնում է սպասվող անունը, այստեղ vpn-gateway որպես սերվերի վկայագրի Common Name՝ OpenVPN-ի լռելյայն անվան դաշտով։ Այդ արժեքը չի բխում DNS հոսթի անունից, ուստի օգտագործեք օպերատորի տված ինքնության սխեման։

Մի՛ հրաժարվեք այդ ստուգումներից միայն այն պատճառով, որ փորձնական վերջնակետը այլ վկայագիր է ցույց տալիս։

Այս հիմնական պրոֆիլը ենթադրում է, որ առանձին հաշվի մարտահրավեր և կառավարման ուղու բանալի չկա։ Եթե ծառայությանը պետք են auth-user-pass, tls-auth կամ tls-crypt, պահեք կոնֆիգուրացիան և ձեզ տրված նյութը, որովհետև ձեր իսկ ստեղծած կառավարման ուղու գաղտնիքը չի համընկնի սերվերի պահածի հետ։ Պահեք նաև ծառայության ծածկագրման քաղաքականությունը՝ հին օրինակից սեղմման կամ ծածկագրման տողեր ներմուծելու փոխարեն։

Աշխատանքային թղթապանակը դարձրեք բացահայտ

Հարաբերական ուղիները հետևում են ընթացքի աշխատանքային թղթապանակին, ոչ թե .ovpn ֆայլի տեղադրությանը։

Սա զարմացնում է նրանց, ովքեր պրոֆիլը տեղափոխում են նոր պանակ և սպասում, որ բանալին կհետևի։ Ադմինիստրատորի ընտրած թղթապանակի համար ստորև հրամանը պրոֆիլը և դրա հղումները կարդալուց առաջ անցնում է բացարձակ ուղու։

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Սեղանի ներմուծման կախարդը կամ համակարգային ծառայությունը կարող է կախվածությունները ձեր փոխարեն փաթեթավորել և կիրառել իր կանոնները։ Այն կարող է նաև օգտագործել ձեր փորձարկածից տարբեր աշխատանքային թղթապանակ։ Հաստատեք, թե ձեր գործարկման եղանակը ինչպես է լուծում բանալու, վկայագրի և CA-ի ուղիները։ Միայն .ovpn ֆայլը տեղափոխելը չի տեղափոխում առանձին գաղտնի բանալին։

Բանալին ընթեռնելի պահեք միայն նախատեսված օգտատիրոջ կամ ծառայության ինքնության համար։

Ստուգեք հանձնումը, ոչ թե ֆայլերի անունները

Առաջին լիազորված միացումից առաջ ստուգեք վերջնակետը, վկայագրի ինքնությունը, թողարկողը և վավերականության պատուհանը։ Ապա հաստատեք, որ ֆայլերի հղումները լուծվում են այն աշխատանքային թղթապանակից, որը իրականում կօգտագործեք։ Միանալուց հետո փորձարկեք հավելվածի և DNS-ի վարքը, որը երթուղավորման քաղաքականությունը պետք է ապահովի։ Երեք ընթեռնելի ֆայլ ոչինչ չեն ապացուցում սերվերի լիազորման կամ օգտագործելի ռեսուրսի ուղու մասին։

Եթե հայտնվում է գաղտնաբառի արտահայտության հարցում, այն պատկանում է գաղտնի բանալուն, ոչ VPN հաշվին։

Վերջապես, գույքագրեք փաթեթը որպես հավատարմագրային նյութ։ Նույն վկայագիրն ու բանալին երկրորդ դյուրակիր համակարգչին հանձնելը պատճենում է ինքնությունը, և ֆայլի վերանվանումը ձեզ երկրորդ գրանցում չի տալիս։ Սա է տարբերությունը պրոֆիլ հավաքելու և այն թողարկելու միջև։