Download del profilo OpenVPN Access Server: l’account giusto

Un profilo Access Server bloccato sull’utente viene generato per un solo account e rifiuta ogni altro, quindi il passaggio di download decide a chi appartiene il file prima che qualsiasi impostazione del client conti. L’ordine qui sotto è quello che do a chiunque chieda «il file VPN»: accedete come la persona che lo userà, trovate il controllo per la vostra versione del server, leggete a cosa è bloccato il file, verificate che la policy consenta quel tipo, poi consegnatelo in un modo che vi permetta ancora di revocarlo. Fermatevi al primo passaggio che fallisce; ogni passaggio successivo presume che il precedente abbia tenuto.

Controllo 1: accedete come account, non come amministratore

Il portale client è l’interfaccia utente ordinaria, di solito su https://vpn.example:943/, mentre l’amministrazione sta su https://vpn.example:943/admin. Questi sono esempi predefiniti; nomi host, porte e proxy inversi li cambiano, quindi usate l’indirizzo che vi ha dato il vostro operatore. Accedere prima al percorso di amministrazione è l’errore più comune, perché la sessione di amministrazione può creare e gestire account ma non è l’account che porterà il tunnel.

Se la persona non riesce ancora ad accedere, fermatevi qui e correggete prima questo: un reset della password, un’assegnazione di gruppo mancante o un account che esiste solo come voce di autenticazione importata bloccheranno il download qualunque browser proviate. Scaricare dalla sessione dell’amministratore produce il profilo dell’amministratore, ed è esattamente il file che non deve finire sul portatile di qualcun altro.

Controllo 2: trovate il controllo di download per la vostra versione

Una volta effettuato l’accesso, il portale mostra un controllo del profilo di connessione vicino alla parte alta della pagina. Per Access Server 2.14 e successivi il tutorial lo descrive come sezione Profilo di connessione sotto «Scarica il tuo profilo qui sotto». Dove il portale offre anche un installer OpenVPN Connect preconfigurato, si tratta di due consegne diverse: una installa il client con il profilo già allegato, l’altra vi dà un file da importare in un client che avete già.

La versione conta qui. Un portale più vecchio può etichettare lo stesso pulsante diversamente, e un portale molto personalizzato può spostarlo sotto un avviso. Se la sezione manca del tutto, non iniziate a indovinare URL: passate al controllo della policy invece di sperimentare percorsi, perché un controllo mancante è quasi sempre una decisione lato server.

Controllo 3: leggete a cosa è bloccato il file

Un profilo bloccato sull’utente porta un certificato client e una chiave incorporati emessi per un utente, e il server mappa quell’identità su quell’account. Rinominare il file, modificarne il nome visualizzato o digitare credenziali diverse al prompt non cambia la mappatura, ed è per questo che un profilo copiato fallisce per la seconda persona con un errore di autenticazione o di certificato invece che con un problema di routing. Guardate dentro il file se dovete confermare cosa avete:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Il numero di certificati vi dice che un’identità è incorporata; le righe remote nominano solo il server. Due file che puntano allo stesso server possono quindi appartenere a persone diverse, e un file che punta a due server resta legato al suo proprietario originale. I profili bloccati sul server e quelli con accesso automatico hanno di nuovo modelli d’uso consentiti diversi: un profilo bloccato sul server si aspetta credenziali al momento della connessione, e un profilo con accesso automatico salta il prompt della password per progettazione. Nessuno di essi diventa un altro tipo modificando il file.

Controllo 4: verificate che la policy consenta quel tipo

Quali tipi di profilo esistano è un’impostazione dell’amministratore, non una preferenza del client. Se il portale offre solo un download bloccato sull’utente, il server potrebbe non consentire nessun altro tipo, o consentirne uno che il gruppo dell’account non riceve. Chiedere all’amministratore di abilitare un altro tipo per far comparire un pulsante mancante è un cambio di policy con conseguenze reali, e rimuovere l’autenticazione a più fattori per raggiungere una pagina di download scambia un controllo di autenticazione con la comodità.

A seconda della versione, l’interfaccia web di amministrazione espone anche la gestione dei profili per un utente, dove un amministratore può emettere o revocare un profilo senza accedere come quella persona. Dove questa capacità manca, l’utente scarica il proprio file. In ogni caso la fonte corretta è l’account previsto, mai un profilo di amministrazione copiato e trattato come modello.

Controllo 5: consegnatelo, poi mantenete il file revocabile

Trattate il download come materiale di credenziali e non come file di configurazione. Un profilo bloccato sull’utente contiene una chiave privata, quindi dovrebbe viaggiare su un canale che usereste per una password, non attraverso una cartella condivisa del disco o un gruppo di chat. Annotate quale utente e quale dispositivo hanno ricevuto quale file, perché la revoca è per account: quando un portatile viene sostituito o perso, l’amministratore revoca l’accesso di quell’utente ed emette un nuovo profilo, e il vecchio file smette di funzionare al tentativo di connessione successivo.

Chiudete con quattro controlli in questo ordine: l’accesso al portale era l’utente previsto, il file contiene un’identità e non solo un indirizzo del server, una connessione di prova dal client previsto riesce e una seconda connessione con un altro account fallisce. Se la quarta riesce, avete distribuito il file sbagliato, e la revoca è il passo successivo invece di una modifica alla configurazione. Il tutorial di download di Access Server mostra il layout attuale del portale e la differenza tra un profilo e un installer preconfigurato.