OpenVPN Access Server-ის პროფილის ჩამოტვირთვა: სწორი ანგარიში

მომხმარებელზე ჩაკეტილი Access Server-ის პროფილი ერთი ანგარიშისთვის იქმნება და ყველა სხვას უარყოფს, ამიტომ ჩამოტვირთვის საფეხური წყვეტს, ვის ეკუთვნის ფაილი, სანამ რომელიმე კლიენტის პარამეტრს მნიშვნელობა ექნება. ქვემოთ მოცემული თანმიმდევრობა არის ის, რასაც ვაძლევ ყველას, ვინც „VPN ფაილს“ ითხოვს: შედით როგორც ის პირი, რომელიც გამოიყენებს მას, იპოვეთ თქვენი სერვერის ვერსიის მართვის ელემენტი, წაიკითხეთ რაზეა ჩაკეტილი ფაილი, დაადასტურეთ რომ პოლიტიკა ამ ტიპს უშვებს და შემდეგ გადაეცით ისე, რომ ჯერ კიდევ შეძლოთ მისი გაუქმება. გაჩერდით პირველ წარუმატებელ საფეხურზე; ყოველი შემდეგი საფეხური ვარაუდობს, რომ წინა შესრულდა.

შემოწმება 1: შედით როგორც ანგარიში და არა როგორც ადმინისტრატორი

კლიენტის პორტალი ჩვეულებრივი მომხმარებლის ინტერფეისია, ჩვეულებრივ მისამართზე https://vpn.example:943/, ხოლო ადმინისტრირება მდებარეობს https://vpn.example:943/admin-ზე. ეს ნაგულისხმევი მაგალითებია; ჰოსტის სახელები, პორტები და უკუ პროქსები ცვლიან მათ, ამიტომ გამოიყენეთ ის მისამართი, რომელიც თქვენმა ოპერატორმა მოგცათ. ჯერ ადმინისტრატორის ბილიკზე შესვლა ყველაზე გავრცელებული შეცდომაა, რადგან ადმინისტრატორის სესიას შეუძლია ანგარიშების შექმნა და მართვა, მაგრამ ის არ არის ანგარიში, რომელიც გვირაბს ატარებს.

თუ პირს ჯერ არ შეუძლია შესვლა, გაჩერდით აქ და ჯერ ის გაასწორეთ: პაროლის აღდგენა, დაკარგული ჯგუფის მინიჭება ან ანგარიში, რომელიც არსებობს მხოლოდ როგორც იმპორტირებული ავთენტიფიკაციის ჩანაწერი, დაბლოკავს ჩამოტვირთვას, რომელ ბრაუზერსაც არ უნდა სცადოთ. ადმინისტრატორის საკუთარი სესიიდან ჩამოტვირთვა ქმნის ადმინისტრატორის პროფილს და სწორედ ეს ფაილი არ უნდა აღმოჩნდეს სხვის ლეპტოპზე.

შემოწმება 2: იპოვეთ ჩამოტვირთვის მართვის ელემენტი თქვენი ვერსიისთვის

შესვლის შემდეგ პორტალი გვერდის ზედა ნაწილთან ახლოს აჩვენებს კავშირის პროფილის მართვის ელემენტს. Access Server 2.14 და უფრო ახალი ვერსიებისთვის გზამკვლევი მას აღწერს როგორც კავშირის პროფილის განყოფილებას „ჩამოტვირთეთ თქვენი პროფილი ქვემოთ“ სათაურის ქვეშ. სადაც პორტალი ასევე გვთავაზობს წინასწარ კონფიგურირებულ OpenVPN Connect-ის ინსტალატორს, ეს ორი განსხვავებული გადაცემაა: ერთი აყენებს კლიენტს უკვე მიმაგრებული პროფილით, მეორე გაძლევთ ფაილს თქვენს უკვე არსებულ კლიენტში იმპორტისთვის.

ვერსიას აქ მნიშვნელობა აქვს. ძველმა პორტალმა შეიძლება იგივე ღილაკი სხვაგვარად მონიშნოს, ხოლო ძლიერად მორგებულმა პორტალმა შეიძლება ის შეტყობინების ქვეშ გადაიტანოს. თუ განყოფილება საერთოდ არ არის, ნუ დაიწყებთ URL-ების გამოცნობას: გადადით პოლიტიკის შემოწმებაზე ბილიკებით ექსპერიმენტების ნაცვლად, რადგან დაკარგული მართვის ელემენტი თითქმის ყოველთვის სერვერის მხარეს მიღებული გადაწყვეტილებაა.

შემოწმება 3: წაიკითხეთ რაზეა ჩაკეტილი ფაილი

მომხმარებელზე ჩაკეტილი პროფილი შეიცავს ერთი მომხმარებლისთვის გაცემულ ჩაშენებულ კლიენტის სერტიფიკატს და გასაღებს, და სერვერი ამ იდენტობას ამ ანგარიშს უკავშირებს. ფაილის გადარქმევა, მისი საჩვენებელი სახელის რედაქტირება ან მოთხოვნისას სხვა მონაცემების შეყვანა არ ცვლის დაკავშირებას, ამიტომ კოპირებული პროფილი მეორე პირთან მარშრუტიზაციის პრობლემის ნაცვლად ავთენტიფიკაციის ან სერტიფიკატის შეცდომით ფეილდება. შეხედეთ ფაილის შიგნით, თუ უნდა დაადასტუროთ რა გაქვთ:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

სერტიფიკატების რაოდენობა გეუბნებათ, რომ იდენტობა ჩაშენებულია; remote ხაზები მხოლოდ სერვერს ასახელებენ. ამიტომ ერთსა და იმავე სერვერზე მიმთითებელი ორი ფაილი შეიძლება სხვადასხვა ადამიანის იყოს და ერთი ფაილი, რომელიც ორ სერვერზე მიუთითებს, მაინც თავის პირვანდელ მფლობელზეა მიბმული. სერვერზე ჩაკეტილ და ავტომატური შესვლის პროფილებს ისევ სხვადასხვა დაშვებული გამოყენების მოდელი აქვთ: სერვერზე ჩაკეტილი პროფილი კავშირის დროს მოელის მონაცემებს, ხოლო ავტომატური შესვლის პროფილი დიზაინით გამოტოვებს პაროლის მოთხოვნას. არც ერთი მათგანი ფაილის რედაქტირებით სხვა ტიპად არ იქცევა.

შემოწმება 4: დაადასტურეთ, რომ პოლიტიკა ამ ტიპს უშვებს

რომელი პროფილის ტიპები არსებობს, ადმინისტრატორის პარამეტრია და არა კლიენტის უპირატესობა. თუ პორტალი მხოლოდ მომხმარებელზე ჩაკეტილ ჩამოტვირთვას გთავაზობთ, სერვერმა შეიძლება საერთოდ არ დაუშვას სხვა ტიპი, ან დაუშვას ის, რომელსაც ანგარიშის ჯგუფი არ იღებს. ადმინისტრატორს სხვა ტიპის ჩართვის თხოვნა, რათა დაკარგული ღილაკი გამოჩნდეს, რეალური შედეგების მქონე პოლიტიკის ცვლილებაა, ხოლო მრავალფაქტორიანი ავთენტიფიკაციის მოხსნა ჩამოტვირთვის გვერდამდე მისასვლელად ავთენტიფიკაციის კონტროლს კომფორტში ცვლის.

ვერსიის მიხედვით, ადმინისტრატორის ვებ ინტერფეისი ასევე გთავაზობთ პროფილის მართვას მომხმარებლისთვის, სადაც ადმინისტრატორს შეუძლია პროფილის გაცემა ან გაუქმება იმ პირად შესვლის გარეშე. სადაც ეს შესაძლებლობა არ არის, მომხმარებელი საკუთარ ფაილს ჩამოტვირთავს. ნებისმიერ შემთხვევაში სწორი წყარო მიზნობრივი ანგარიშია და არასოდეს შაბლონად გამოყენებული კოპირებული ადმინისტრატორის პროფილი.

შემოწმება 5: გადაეცით და შემდეგ შეინახეთ გაუქმებადი

ჩამოტვირთვას მოეპყარით როგორც სერტიფიკატურ მასალას და არა როგორც კონფიგურაციის ფაილს. მომხმარებელზე ჩაკეტილი პროფილი შეიცავს პირად გასაღებს, ამიტომ ის უნდა გაიგზავნოს იმ არხით, რომელსაც პაროლისთვის გამოიყენებდით და არა საერთო დისკის საქაღალდით ან ჩატის ჯგუფით. ჩაწერეთ, რომელმა მომხმარებელმა და მოწყობილობამ მიიღო რომელი ფაილი, რადგან გაუქმება ანგარიშის მიხედვით ხდება: როცა ლეპტოპი იცვლება ან იკარგება, ადმინისტრატორი აუქმებს ამ მომხმარებლის წვდომას და გასცემს ახალ პროფილს, ხოლო ძველი ფაილი შემდეგი კავშირის მცდელობისას წყვეტს მუშაობას.

დაასრულეთ ოთხი შემოწმებით ამ თანმიმდევრობით: პორტალზე შესვლა იყო მიზნობრივი მომხმარებლით, ფაილი შეიცავს იდენტობას და არა მხოლოდ სერვერის მისამართს, მიზნობრივი კლიენტიდან ერთი სატესტო კავშირი წარმატებულია, ხოლო მეორე კავშირი სხვა ანგარიშით წარუმატებელია. თუ მეოთხე წარმატებულია, თქვენ არასწორი ფაილი დარიგეთ და შემდეგი ნაბიჯი გაუქმებაა და არა კონფიგურაციის რედაქტირება. Access Server-ის ჩამოტვირთვის გზამკვლევი გვიჩვენებს პორტალის მიმდინარე განლაგებას და განსხვავებას პროფილსა და წინასწარ კონფიგურირებულ ინსტალატორს შორის.