OpenVPN Access Server のプロファイル取得：正しいアカウント

ユーザーロックされた Access Server プロファイルは一つのアカウント向けに生成され、他のすべてを拒否するため、どのクライアント設定を考えるより前に、ダウンロードの段階でファイルが誰のものかが決まります。以下の順序は、「VPN ファイル」を求めてきた人に私が必ず渡す手順で、使う本人としてサインインし、自分のサーバーバージョンに対応する操作項目を見つけ、ファイルが何にロックされているかを読み、ポリシーがその種類を許可していることを確認したうえで、後からでも取り消せる方法で受け渡します。失敗した最初の段階で止め、以降の段階は前の段階が成立していることを前提にしてください。

確認 1：管理者ではなく、そのアカウントとしてサインインする

クライアントポータルは通常のユーザーインターフェースで、たいていは https://vpn.example:943/ にあり、管理画面は https://vpn.example:943/admin にあります。これらは既定の例であり、ホスト名、ポート、リバースプロキシによって変わるので、運用担当者が渡したアドレスを使ってください。先に管理用のパスへサインインするのが最も多い誤りで、管理セッションはアカウントを作成・管理できますが、トンネルを運ぶアカウントそのものではありません。

その人がまだサインインできない場合は、ここで止めて先にそれを直してください。パスワードの再設定、グループ割り当ての欠落、あるいはインポートされた認証エントリとしてしか存在しないアカウントがあれば、どのブラウザーを試してもダウンロードは妨げられますし、管理者自身のセッションからダウンロードすると管理者のプロファイルができ上がり、それはまさに他人のノート PC に残してはいけないファイルです。

確認 2：自分のバージョン用のダウンロード操作を見つける

サインインすると、ポータルはページ上部近くに接続プロファイルの操作項目を表示します。Access Server 2.14 以降では、チュートリアルはそれを「以下でプロファイルをダウンロード」の下の「接続プロファイル」セクションとして説明しています。ポータルが事前設定済みの OpenVPN Connect インストーラーも提供している場合は二つの別の受け渡しであり、一方はプロファイルを組み込んだ状態でクライアントをインストールし、もう一方は既にあるクライアントに取り込むためのファイルを渡します。

ここではバージョンが重要です。古いポータルは同じボタンに別のラベルを付けていることがあり、大きくカスタマイズされたポータルはその項目を通知の下へ移動させていることがありますので、セクションがまったく無い場合は、パスを試すのではなくポリシーの確認へ進んでください。項目が無いのは、ほとんど常にサーバー側の判断だからです。

確認 3：ファイルが何にロックされているかを読む

ユーザーロックされたプロファイルは、一人のユーザー向けに発行されたクライアント証明書と鍵を埋め込んでおり、サーバーはその身元をそのアカウントに対応付けます。ファイル名を変えても、表示名を編集しても、プロンプトで別の資格情報を入力しても対応付けは変わらないため、コピーしたプロファイルは二番目の人ではルーティングの問題ではなく認証または証明書のエラーで失敗し、手元のものが何かを確かめたいときはファイルの中を見てください。

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

証明書の数は、身元が埋め込まれていることを示し、remote の行はサーバーを示すだけです。したがって同じサーバーを指す二つのファイルが別の人のものであることもあり、二つのサーバーを指す一つのファイル でも元の所有者に結び付いたままです。サーバーロックのプロファイルと自動ログインのプロファイルには、また別の許された利用モデルがあります。サーバーロックのプロファイルは接続時に資格情報を求め、自動ログインのプロファイルは設計上パスワードの入力を省き、どちらもファイルを編集しても別の種類にはなりません。

確認 4：ポリシーがその種類を許可しているか確かめる

どのプロファイル種別が存在するかは管理者の設定であり、クライアントの好みではありません。ポータルがユーザーロックのダウンロードしか提供していないなら、サーバーが他の種別を許可していないか、そのアカウントのグループに配られていない種別を許可している可能性があります。欠けているボタンを出すために管理者へ別の種別を有効にしてほしいと頼むのは実際の影響のあるポリシー変更であり、ダウンロードページに到達するために多要素認証を外すのは認証の制御を利便性と引き換えることです。

バージョンによっては、管理者用ウェブ UI はユーザーのプロファイル管理も提供し、管理者はその人としてサインインせずにプロファイルを発行または取り消せます。その機能が無い場合は、ユーザー自身が自分のファイルをダウンロードします。いずれにしても正しい入手元は目的のアカウントであり、テンプレートとして扱ったコピー済みの管理者プロファイルではけっしてありません。

確認 5：受け渡し、その後も取り消せる状態に保つ

ダウンロードは設定ファイルではなく資格情報として扱い、ユーザーロックのプロファイルは秘密鍵を含むので、パスワードに使うような経路で受け渡し、共有ドライブのフォルダーやチャットグループは使わないでください。どのユーザーとどの端末がどのファイルを受け取ったかを記録してください。取り消しはアカウント単位で、ノート PC が入れ替わったり紛失したりしたら、管理者はそのユーザーのアクセスを取り消して新しいプロファイルを発行し、古いファイルは次の接続の試行で機能しなくなります。

ポータルへのサインインが目的のユーザーだったこと、ファイルにサーバーアドレスだけでなく身元が含まれていること、目的のクライアントから試験接続が一つ成功すること、別のアカウントを使う二つ目の接続が失敗することの四つをこの順序で確認して終えます。四つ目が成功したら誤ったファイルを配っており、次の手順は設定の編集ではなく取り消しです。詳細は Access Server のダウンロードチュートリアル で、現在のポータルの配置と、プロファイルと事前設定済みインストーラーの違いが示されています。