Берілген файлдардан OpenVPN клиенттік профилін қалай құрастыру керек

Операторыңыз CA бумасын, клиент сертификатын және оның кілтін береді, ал бұлар бір профильге біріктірілмейінше клиент іске қосылмайды. Профиль — конфигурация: ол сол файлдарды нұсқайды, оларды өз ішінде ұстамайды, және оны өңдеу оны сертификатқа айналдыра алмайды. Нұсқаулық бұрын мақұлданған ноутбуктен басталып, белгілі каталогтан іске қосуға болатын профильмен аяқталады. Ол CA жасамайды, жаңа сертификат тіркемейді және серверге тимейді.

Мұнда мақсат — Linux үшін OpenVPN 2.6 пәрмен жолының клиенті, UDP арқылы TUN-мен маршрутталған, сертификатпен аутентификацияланады.

Тек клиент жағындағы файлдарды жинаңыз

Қорғалған каталогта жұмыс істеп, мақұлданған CA сенім материалын, сізге берілген клиент сертификатын және оған сәйкес келетін жеке кілтті жинаңыз. Бұл мысалда атаулар — ca.crt, laptop-a.crt және laptop-a.key. Файл атаулары тек белгілер; олар әр файлдың не қамтитыны туралы ештеңе айтпайды.

Кілтті тіркелу кезінде жасаған болсаңыз, ол машинадан ешқашан шыққан жоқ; шығарушыдан тек қол қойылған сертификат пен ашық тізбек қайтуы керек. Сертификаттың қызмет күтетін клиент рөлін алып жүргенін тексеріңіз. Кілттің дәл сол сертификатқа тиесілі екенін, алдыңғы әрекеттің ескі сертификатына емес екенін де тексеріңіз. Сәйкессіз жұп әлдеқайда кеш TLS ақауын тудырады, ол сервер мәселесіне ұқсайды.

CA-ның жеке қол қою кілтін, сервердің жеке кілтін және DH параметрлерін осы буманың сыртында қалдырыңыз.

Файлдарды шағын профильге біріктіріңіз

Төмендегі профиль әдейі қысқа. Әр жол не соңғы нүктені таңдайды, не клиент қабылдайтын сәйкестікті шектейді, не үш файлдың бірін нұсқайды.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote жолы желінің соңғы нүктесін таңдайды. remote-cert-tls server қарсы тараптың сервер рөліндегі сертификат ұсынуын талап етеді. verify-x509-name күтілетін атауды бекітеді, мұнда vpn-gateway сервер сертификатының Common Name ретінде OpenVPN-нің әдепкі атау өрісімен. Бұл мән DNS хост атауынан шығарылмайды, сондықтан оператор берген сәйкестік схемасын пайдаланыңыз.

Тек сынақ соңғы нүктесі басқа сертификат көрсеткендіктен бұл тексерулерден бас тартпаңыз.

Бұл негізгі профиль жеке шот сынағы мен басқару арнасының кілті жоқ деп есептейді. Егер қызметке auth-user-pass, tls-auth немесе tls-crypt қажет болса, конфигурация мен сізге берілген материалды сақтаңыз, себебі өзіңіз жасаған басқару арнасының құпиясы сервердегімен сәйкес келмейді. Ескі мысалдан сығу немесе шифр жолдарын импорттаудың орнына қызметтің шифр саясатын да сақтаңыз.

Жұмыс каталогын айқын етіңіз

Салыстырмалы жолдар процестің жұмыс каталогына сүйенеді, .ovpn файлының орналасуына емес.

Бұл профильді жаңа қалтаға көшіріп, кілт те бірге кетеді деп күткендерді таңқалдырады. Әкімші таңдаған каталог үшін төмендегі пәрмен профиль мен оның сілтемелерін оқымас бұрын абсолютті жолға өтеді.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Жұмыс үстелінің импорт шебері немесе жүйелік қызмет тәуелділіктерді сіз үшін бумалауы мүмкін және өз ережелерін қолдануы мүмкін. Ол сіз сынаған каталогтан өзге жұмыс каталогын да пайдалануы мүмкін. Іске қосу әдісіңіз кілт, сертификат және CA жолдарын қалай шешетінін растаңыз. Тек .ovpn файлын көшіру жеке кілтті көшірмейді.

Кілтті тек арналған пайдаланушы немесе қызмет сәйкестігі үшін оқылатын күйде ұстаңыз.

Файл атауларын емес, тапсыруды тексеріңіз

Бірінші рұқсат етілген қосылымға дейін соңғы нүктені, сертификаттың сәйкестігін, шығарушыны және жарамдылық терезесін тексеріңіз. Содан кейін файл сілтемелерінің шын мәнінде пайдаланатын жұмыс каталогынан шешілетінін растаңыз. Қосылғаннан кейін маршруттау саясаты қамтамасыз етуге тиіс қолданба мен DNS мінез-құлқын сынаңыз. Үш оқылатын файл сервердің рұқсаты не пайдалануға болатын ресурс жолы туралы ештеңе дәлелдемейді.

Егер құпиясөз фразасын сұрау пайда болса, ол жеке кілтке тиесілі, VPN шотына емес.

Соңында, буманы тіркелгі деректері материалы ретінде түгендеңіз. Сол сертификат пен кілтті екінші ноутбукке беру сәйкестікті көшіреді, ал файлды қайта атау екінші тіркелуді бермейді. Профиль құрастыру мен оны беру арасындағы айырмашылық осында.