Hvernig á að setja saman OpenVPN-biðlaraforritssnið úr útgefnum skrám

Stjórnandinn þinn afhendir þér CA-pakka, biðlaraskírteini og lykilinn að því, og biðlarinn ræsist ekki fyrr en þetta er tengt í eitt snið. Sniðið er stilling: það vísar á þessar skrár, inniheldur þær ekki, og ekki er hægt að breyta því í skírteini með því að breyta því. Leiðbeiningin byrjar á þegar samþykktum ferðatölvu og endar með sniði sem þú getur ræst úr þekktri möppu. Hún býr ekki til CA, skráir ekki nýtt skírteini og snertir ekki netþjóninn.

Markmiðið hér er OpenVPN 2.6 skipanalínubiðlari fyrir Linux, beint með TUN yfir UDP, með skírteinavottun.

Safnaðu aðeins skrám biðlaramegin

Vinndu í varðri möppu og safnaðu samþykktu CA-traustuefninu, útgefna biðlaraskírteininu þínu og einkalyklinum sem passar við það. Í þessu dæmi eru nöfnin ca.crt, laptop-a.crt og laptop-a.key. Skráarnöfnin eru aðeins merki; þau segja ekkert um hvað hver skrá inniheldur.

Ef þú bjóst til lykilinn við skráninguna fór hann aldrei af vélinni; frá útgefandanum þurfa aðeins að koma undirritaða skírteinið og opinbera keðjan. Athugaðu að skírteinið beri biðlarahlutverkið sem þjónustan ætlast til. Athugaðu líka að lykillinn tilheyri þessu skírteini en ekki eldra skírteini frá fyrri tilraun. Ósamræmt par veldur TLS-bilun miklu seinna, sem lítur út eins og vandamál á netþjóni.

Láttu einkasignunarlykil CA, einkalykil netþjónsins og DH-færibreyturnar vera utan þessa pakka.

Tengdu skrárnar í lítið snið

Sniðið hér að neðan er viljandi stutt. Hver lína velur annaðhvort endapunktinn, takmarkar auðkennið sem biðlarinn tekur, eða vísar á eina af þremur skrám.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Línan remote velur netendapunktinn. remote-cert-tls server krefst þess að mótaðilinn leggi fram skírteini með hlutverki netþjóns. verify-x509-name festir væntaða nafnið, hér vpn-gateway sem Common Name skírteinis netþjónsins með sjálfgefnu nafnreiti OpenVPN. Þetta gildi er ekki leitt af DNS-vélarheiti, svo notaðu það auðkenniskerfi sem stjórnandinn gaf.

Ekki sleppa þessum athugunum bara af því að prófunarendapunktur sýnir annað skírteini.

Þetta grunnsnið gerir ráð fyrir engri sérstakri reikningsáskorun og engum lykli fyrir stjórnrás. Ef þjónustan þarf auth-user-pass, tls-auth eða tls-crypt, haltu stillingunni og efninu sem þú fékkst, því leyndarmál stjórnrásar sem þú býrð til sjálf passar ekki við það sem netþjónurinn geymir. Haltu líka dulkóðunarstefnu þjónustunnar í stað þess að flytja inn þjöppunar- eða dulkóðunarlínur úr gömlu dæmi.

Gerðu vinnumöppuna skýra

Afstæð slóð fylgja vinnumöppu ferlisins, ekki staðsetningu skrárinnar .ovpn.

Það kemur fólki á óvart sem færir sniðið í nýja möppu og býst við að lykillinn fylgi. Fyrir möppu sem stjórnandinn velur fer skipunin hér að neðan í algilda slóð áður en hún les sniðið og tilvísanir þess.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Innflutningsálfur á skjáborði eða kerfisþjónusta getur pakkað fyrir þig háðunum og beitt eigin reglum. Hann getur líka notað aðra vinnumöppu en þá sem þú prófaðir í. Staðfestu hvernig ræsingaraðferðin þín leysir slóðir að lykli, skírteini og CA. Að færa aðeins skrána .ovpn færir ekki sérstaka einkalykilinn.

Haltu lyklinum læsilegum aðeins fyrir fyrirhugaðan notanda eða þjónustuauðkenni.

Staðfestu afhendinguna, ekki skráarnöfnin

Fyrir fyrstu heimilaðri tengingu skaltu athuga endapunktinn, auðkenni skírteinisins, útgefandann og gildistímabilið. Staðfestu síðan að tilvísanir skráa leysist úr þeirri vinnumöppu sem þú munt raunverulega nota. Eftir tengingu skaltu prófa hegðun forritsins og DNS sem beitingarstefnan á að veita. Þrjár læsilegar skrár sanna ekkert um heimild netþjónsins eða um nothæfa slóð að auðlind.

Ef lykilorðssetning birtist á hún við einkalykilinn, ekki VPN-reikning.

Að lokum skráðu pakkann sem auðkenningarefni. Að afhenda sama skírteini og lykil á aðra ferðatölvu afritar auðkennið, og að endurnefna skrána gefur þér ekki aðra skráningu. Það er munurinn á að setja saman snið og að gefa það út.