როგორ ავაწყოთ OpenVPN კლიენტის პროფილი გამოცემული ფაილებიდან

თქვენი ოპერატორი გადმოგცემთ CA-ს პაკეტს, კლიენტის სერტიფიკატს და მის გასაღებს, და კლიენტი არ ამუშავდება, სანამ ისინი ერთ პროფილში არ დაუკავშირდება. პროფილი კონფიგურაციაა: ის მიუთითებს ამ ფაილებზე, არ შეიცავს მათ და მისი რედაქტირებით მას სერტიფიკატად ვერ აქცევთ. სახელმძღვანელო იწყება უკვე დამტკიცებული ლეპტოპიდან და მთავრდება პროფილით, რომელსაც ცნობილი დირექტორიიდან გაუშვებთ. ის არ ქმნის CA-ს, არ არეგისტრირებს ახალ სერტიფიკატს და არ ეხება სერვერს.

აქ სამიზნეა Linux-ისთვის OpenVPN 2.6 ბრძანების ხაზის კლიენტი, TUN-ით UDP-ის გავლით მარშრუტიზებული, სერტიფიკატით ავთენტიფიკაციით.

შეაგროვეთ მხოლოდ კლიენტის მხარის ფაილები

იმუშავეთ დაცულ დირექტორიაში და შეაგროვეთ დამტკიცებული CA ნდობის მასალა, თქვენთვის გამოცემული კლიენტის სერტიფიკატი და მისი შესაბამისი პირადი გასაღები. ამ მაგალითში სახელებია ca.crt, laptop-a.crt და laptop-a.key. ფაილების სახელები მხოლოდ იარლიყებია; ისინი არაფერს ამბობენ იმაზე, თუ რას შეიცავს თითოეული ფაილი.

თუ გასაღები რეგისტრაციის დროს შექმენით, მან მანქანა არასოდეს დატოვა; გამომცემლისგან მხოლოდ ხელმოწერილი სერტიფიკატი და საჯარო ჯაჭვი უნდა დაბრუნდეს. შეამოწმეთ, რომ სერტიფიკატს აქვს ის კლიენტის როლი, რომელსაც სერვისი მოელის. ასევე შეამოწმეთ, რომ გასაღები სწორედ ამ სერტიფიკატს ეკუთვნის და არა წინა ცდის ძველ სერტიფიკატს. შეუთანხმებელი წყვილი ბევრად მოგვიანებით TLS-ის ჩავარდნას იწვევს, რომელიც სერვერის პრობლემას ჰგავს.

CA-ს პირადი ხელმოწერის გასაღები, სერვერის პირადი გასაღები და DH პარამეტრები ამ პაკეტის გარეთ დატოვეთ.

დააკავშირეთ ფაილები პატარა პროფილში

ქვემოთ მოცემული პროფილი განზრახ მოკლეა. თითოეული ხაზი ან ირჩევს საბოლოო წერტილს, ან ზღუდავს იმ იდენტობას, რომელსაც კლიენტი მიიღებს, ან მიუთითებს სამი ფაილიდან ერთ-ერთზე.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote ხაზი ირჩევს ქსელის საბოლოო წერტილს. remote-cert-tls server მოითხოვს, რომ მეორე მხარემ წარმოადგინოს სერვერის როლის სერტიფიკატი. verify-x509-name ამაგრებს მოსალოდნელ სახელს, აქ vpn-gateway სერვერის სერტიფიკატის Common Name-ად OpenVPN-ის ნაგულისხმევი სახელის ველით. ეს მნიშვნელობა DNS ჰოსტის სახელიდან არ გამომდინარეობს, ამიტომ გამოიყენეთ ოპერატორის მიერ მოწოდებული იდენტობის სქემა.

ნუ უარს იტყვით ამ შემოწმებებზე მხოლოდ იმიტომ, რომ სატესტო საბოლოო წერტილი სხვა სერტიფიკატს აჩვენებს.

ეს საბაზისო პროფილი ვარაუდობს, რომ არ არსებობს ცალკე ანგარიშის გამოწვევა და მართვის არხის გასაღები. თუ სერვისს სჭირდება auth-user-pass, tls-auth ან tls-crypt, შეინახეთ კონფიგურაცია და მიღებული მასალა, რადგან თქვენ მიერ შექმნილი მართვის არხის საიდუმლო არ დაემთხვევა სერვერთან არსებულს. შეინახეთ სერვისის დაშიფვრის პოლიტიკაც, ძველი მაგალითიდან შეკუმშვის ან დაშიფვრის ხაზების იმპორტის ნაცვლად.

სამუშაო დირექტორია ცხადი გახადეთ

ფარდობითი ბილიკები პროცესის სამუშაო დირექტორიას მიჰყვება და არა .ovpn ფაილის მდებარეობას.

ეს აკვირვებს მათ, ვინც პროფილს ახალ საქაღალდეში გადაიტანს და ელის, რომ გასაღები გაყვება. ადმინისტრატორის მიერ არჩეული დირექტორიისთვის ქვემოთ მოცემული ბრძანება აბსოლუტურ ბილიკზე გადადის პროფილისა და მისი მითითებების წაკითხვამდე.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

სამუშაო მაგიდის იმპორტის ოსტატი ან სისტემური სერვისი შეიძლება დამოკიდებულებები თქვენთვის შეფუთოს და საკუთარი წესები გამოიყენოს. მან შეიძლება გამოიყენოს თქვენი სატესტო დირექტორიისგან განსხვავებული სამუშაო დირექტორიაც. დაადასტურეთ, როგორ ხსნის თქვენი გაშვების მეთოდი გასაღების, სერტიფიკატისა და CA-ს ბილიკებს. მხოლოდ .ovpn ფაილის გადაადგილება არ გადაადგილებს ცალკე პირად გასაღებს.

შეინახეთ გასაღები წაკითხვადი მხოლოდ განკუთვნილი მომხმარებლის ან სერვისის იდენტობისთვის.

შეამოწმეთ გადაცემა და არა ფაილების სახელები

პირველ ავტორიზებულ კავშირამდე შეამოწმეთ საბოლოო წერტილი, სერტიფიკატის იდენტობა, გამომცემელი და მოქმედების ფანჯარა. შემდეგ დაადასტურეთ, რომ ფაილების მითითებები იხსნება იმ სამუშაო დირექტორიიდან, რომელსაც რეალურად გამოიყენებთ. დაკავშირების შემდეგ შეამოწმეთ აპლიკაციისა და DNS-ის ქცევა, რომელიც მარშრუტიზაციის პოლიტიკას უნდა უზრუნველყოს. სამი წაკითხვადი ფაილი არაფერს ამტკიცებს სერვერის ავტორიზაციის ან გამოსადეგი რესურსის ბილიკის შესახებ.

თუ პაროლის ფრაზის მოთხოვნა გამოჩნდა, ის პირად გასაღებს ეკუთვნის და არა VPN ანგარიშს.

და ბოლოს, აღრიცხეთ პაკეტი როგორც სანდოობის მასალა. იგივე სერტიფიკატისა და გასაღების მეორე ლეპტოპისთვის გადაცემა იდენტობას აკოპირებს, და ფაილის გადარქმევა მეორე რეგისტრაციას არ გაძლევთ. ეს არის განსხვავება პროფილის აწყობასა და მის გაცემას შორის.