Cara menyusun profil klien OpenVPN dari berkas yang diterbitkan

Operator Anda menyerahkan bundel CA, sertifikat klien dan kuncinya, dan klien tidak akan menyala sampai semuanya dirangkai dalam satu profil. Profil adalah konfigurasi: ia menunjuk ke berkas-berkas itu, tidak memuatnya, dan menyuntingnya tidak dapat mengubahnya menjadi sertifikat. Panduan ini dimulai dari laptop yang sudah disetujui dan berakhir dengan profil yang dapat Anda jalankan dari direktori yang diketahui. Panduan ini tidak membuat CA, tidak mendaftarkan sertifikat baru, dan tidak menyentuh server.

Sasaran di sini adalah klien baris perintah OpenVPN 2.6 untuk Linux, dirutekan TUN melalui UDP, dengan autentikasi sertifikat.

Kumpulkan hanya berkas sisi klien

Bekerjalah di direktori terlindungi dan kumpulkan materi kepercayaan CA yang disetujui, sertifikat klien yang diterbitkan untuk Anda, dan kunci privat yang cocok dengannya. Dalam contoh ini namanya ca.crt, laptop-a.crt, dan laptop-a.key. Nama berkas hanyalah label; itu tidak mengatakan apa pun tentang isi setiap berkas.

Jika Anda membuat kunci saat pendaftaran, kunci itu tidak pernah meninggalkan mesin; dari penerbit hanya sertifikat bertanda tangan dan rantai publik yang perlu kembali. Periksa bahwa sertifikat membawa peran klien yang diharapkan layanan. Periksa juga bahwa kunci itu milik sertifikat tersebut dan bukan sertifikat lama dari percobaan sebelumnya. Pasangan yang tidak cocok menghasilkan kegagalan TLS jauh kemudian, yang tampak seperti masalah server.

Tinggalkan kunci penandatanganan privat CA, kunci privat server, dan parameter DH di luar paket ini.

Rangkai berkas menjadi profil kecil

Profil di bawah ini sengaja dibuat singkat. Setiap baris memilih titik akhir, membatasi identitas yang akan diterima klien, atau menunjuk ke salah satu dari tiga berkas.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Baris remote memilih titik akhir jaringan. remote-cert-tls server menuntut agar pihak lawan menyajikan sertifikat dengan peran server. verify-x509-name mematok nama yang diharapkan, di sini vpn-gateway sebagai Common Name sertifikat server dengan bidang nama bawaan OpenVPN. Nilai itu tidak disimpulkan dari nama host DNS, jadi gunakan skema identitas yang diberikan operator.

Jangan lepaskan pemeriksaan itu hanya karena titik akhir uji menampilkan sertifikat yang berbeda.

Profil dasar ini mengasumsikan tidak ada tantangan akun terpisah dan tidak ada kunci kanal kendali. Jika layanan memerlukan auth-user-pass, tls-auth, atau tls-crypt, pertahankan konfigurasi dan materi yang diberikan kepada Anda, karena rahasia kanal kendali yang Anda buat sendiri tidak akan cocok dengan yang dipegang server. Pertahankan juga kebijakan sandi layanan alih-alih mengimpor baris kompresi atau sandi dari contoh lama.

Buat direktori kerja eksplisit

Jalur relatif mengikuti direktori kerja proses, bukan lokasi berkas .ovpn.

Itu mengejutkan orang yang memindahkan profil ke folder baru dan mengharapkan kunci mengikutinya. Untuk direktori yang dipilih administrator, perintah di bawah ini berpindah ke jalur absolut sebelum membaca profil dan rujukannya.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Wizard impor desktop atau layanan sistem dapat mengemas dependensi untuk Anda dan menerapkan aturannya sendiri. Ia juga dapat memakai direktori kerja berbeda dari yang Anda uji. Pastikan bagaimana metode peluncuran Anda menyelesaikan jalur kunci, sertifikat, dan CA. Memindahkan hanya berkas .ovpn tidak memindahkan kunci privat terpisah.

Jaga kunci hanya dapat dibaca oleh pengguna atau identitas layanan yang dimaksud.

Verifikasi penyerahan, bukan nama berkas

Sebelum koneksi resmi pertama, periksa titik akhir, identitas sertifikat, penerbit, dan jendela validitas. Lalu pastikan rujukan berkas diselesaikan dari direktori kerja yang benar-benar akan Anda gunakan. Setelah terhubung, uji perilaku aplikasi dan DNS yang seharusnya disediakan kebijakan perutean. Tiga berkas yang dapat dibaca tidak membuktikan apa pun tentang otorisasi server atau jalur sumber daya yang dapat dipakai.

Jika muncul permintaan frasa sandi, itu milik kunci privat, bukan akun VPN.

Terakhir, inventarisasikan paket sebagai materi kredensial. Menyerahkan sertifikat dan kunci yang sama ke laptop kedua menyalin identitas, dan mengganti nama berkas tidak memberi Anda pendaftaran kedua. Itulah perbedaan antara menyusun profil dan menerbitkannya.