Niðurhal á OpenVPN Access Server sniði: rétta reikningnum

Notendalæst Access Server snið er búið til fyrir einn reikning og hafnar öllum öðrum, svo niðurhalsþrepið ræður því hver á skrána áður en nokkur stilling biðlara skiptir máli. Röðin hér að neðan er sú sem ég gef hverjum þeim sem biður um „VPN skrána“: skráðu þig inn sem manneskjan sem á að nota hana, finndu stýringuna fyrir þína þjónarútgáfu, lestu við hvað skráin er læst, staðfestu að stefnan leyfi þessa tegund og afhentu hana svo á þann hátt að þú getir enn afturkallað hana. Stoppaðu við fyrsta þrepið sem mistekst; hvert síðara þrep gerir ráð fyrir að hið fyrra hafi staðist.

Athugun 1: skráðu þig inn sem reikningurinn, ekki sem stjórnandinn

Biðlaragáttin er venjulega notendaviðmótið, yfirleitt á https://vpn.example:943/, en stjórnunin er á https://vpn.example:943/admin. Þetta eru sjálfgefin dæmi; hýsilnöfn, gáttir og öfugir milliþjónar breyta þeim, svo notaðu slóðina sem rekstraraðilinn gaf þér. Að skrá sig fyrst inn á stjórnendaslóðina er algengasta mistökin, því stjórnendalotan getur búið til og stýrt reikningum en er ekki reikningurinn sem mun bera göngin.

Ef manneskjan getur ekki enn skráð sig inn, stoppaðu hér og lagaðu það fyrst: endurstilling lykilorðs, vantar hópúthlutun eða reikningur sem er aðeins til sem innflutt auðkenningarfærsla mun loka niðurhalinu sama hvaða vafra þú prófar. Að hlaða niður frá eigin lotu stjórnandans framleiðir snið stjórnandans, og það er einmitt skráin sem á ekki að enda á fartölvu einhvers annars.

Athugun 2: finndu niðurhalsstýringuna fyrir þína útgáfu

Eftir innskráningu sýnir gáttin stýringu fyrir tengisnið nálægt efri hluta síðunnar. Fyrir Access Server 2.14 og nýrri lýsir leiðbeiningin henni sem hlutanum Tengisnið undir „Hlaða niður sniðinu þínu hér að neðan“. Þar sem gáttin býður einnig upp á forstilltan OpenVPN Connect uppsetningarforrit, eru þetta tvenns konar afhending: önnur setur upp biðlarann með sniðinu þegar tengdu, hin gefur þér skrá til að flytja inn í biðlara sem þú hefur nú þegar.

Útgáfan skiptir máli hér. Eldri gátt kann að merkja sama hnappinn öðruvísi, og mjög sérsniðin gátt getur fært hann undir tilkynningu. Ef hlutinn vantar algjörlega, byrjaðu ekki að giska á vefslóðir: farðu í stefnuathugun í stað þess að gera tilraunir með slóðir, því stýring sem vantar er næstum alltaf ákvörðun á þjónshlið.

Athugun 3: lestu við hvað skráin er læst

Notendalæst snið ber innbyggt biðlaraskírteini og lykil sem gefin eru út fyrir einn notanda, og þjónninn varpar þeirri auðkenningu á þann reikning. Að endurnefna skrána, breyta birtu nafni hennar eða slá inn aðrar auðkenningar við kvaðninguna breytir ekki vörpuninni, og þess vegna mistekst afrit sniðs hjá hinni manneskjunni með auðkenningar- eða skírteinisvillu frekar en leiðarvillu. Líttu inn í skrána ef þú þarft að staðfesta hvað þú hefur:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Fjöldi skírteina segir þér að auðkenning sé innbyggð; línurnar remote nefna aðeins þjóninn. Tvær skrár sem vísa á sama þjón geta því tilheyrt mismunandi fólki, og ein skrá sem vísar á tvo þjóna er enn bundin upprunalegum eiganda sínum. Þjónlæst snið og sjálfvirk innskráningarsnið hafa aftur aðrar leyfðar notkunarlíkanir: þjónlæst snið býst við auðkenningum þegar tengt er, og sjálfvirkt innskráningarsnið sleppir lykilorðskvaðningunni að hönnun. Ekkert þeirra verður önnur tegund með því að breyta skránni.

Athugun 4: staðfestu að stefnan leyfi þá tegund

Hvaða sniðtegundir eru til er stilling stjórnandans, ekki val biðlarans. Ef gáttin býður aðeins upp á notendalæst niðurhal leyfir þjónninn kannski enga aðra tegund, eða leyfir þá sem hópur reikningsins fær ekki. Að biðja stjórnandann að virkja aðra tegund svo hnappur sem vantar birtist er stefnubreyting með raunverulegum afleiðingum, og að fjarlægja margþátta auðkenningu til að komast á niðurhalsíðu skiptir auðkenningareftirliti fyrir þægindi.

Eftir útgáfu býður stjórnenda vefviðmótið einnig upp á sniðstjórnun fyrir notanda, þar sem stjórnandi getur gefið út eða afturkallað snið án þess að skrá sig inn sem sú manneskja. Þar sem þessi geta vantar hleður notandinn niður sinni eigin skrá. Hvort sem er, rétta uppsprettan er fyrirhugaður reikningur, aldrei afritað stjórnendasnið notað sem sniðmát.

Athugun 5: afhentu, haltu henni svo afturkallanlegri

Meðhöndlaðu niðurhalið sem auðkenningarefni frekar en stillingarskrá. Notendalæst snið inniheldur einkanlega, svo það ætti að ferðast um rás sem þú myndir nota fyrir lykilorð, ekki í gegnum sameiginlega drifs möppu eða spjallhóp. Skráðu hvaða notandi og tæki fengu hvaða skrá, því afturköllun er fyrir hvern reikning: þegar fartölvu er skipt eða henni týnt afturkallar stjórnandinn aðgang þess notanda og gefur út nýtt snið, og gamla skráin hættir að virka við næstu tengingartilraun.

Ljúktu með fjórum athugunum í þessari röð: innskráningin í gáttina var fyrirhugaði notandinn, skráin inniheldur auðkenningu en ekki bara þjónslóð, ein prófunartenging frá fyrirhuguðum biðlara heppnast, og önnur tenging með öðrum reikningi mistekst. Ef sú fjórða heppnast hefur þú dreift rangri skrá, og afturköllun er næsta skref í stað stillingabreytingar. Leiðbeiningin um niðurhal Access Server sýnir núverandi útlit gáttarinnar og muninn á sniði og forstilltu uppsetningarforriti.