OpenVPN Access Server 프로필 다운로드: 올바른 계정

사용자에게 고정된 Access Server 프로필은 계정 하나를 위해 만들어지고 다른 모든 계정을 거부하므로, 어떤 클라이언트 설정보다도 먼저 다운로드 단계에서 파일이 누구의 것인지가 정해집니다. 아래 순서는 “VPN 파일”을 요청하는 사람에게 제가 늘 건네는 순서로, 그 파일을 쓸 본인으로 로그인하고, 서버 버전에 맞는 제어 항목을 찾고, 파일이 무엇에 고정되어 있는지 읽고, 정책이 그 유형을 허용하는지 확인한 다음, 나중에도 취소할 수 있는 방식으로 전달하는 것입니다. 실패한 첫 단계에서 멈추고, 이후 단계는 앞 단계가 성립했다고 가정하세요.

확인 1: 관리자가 아니라 그 계정으로 로그인하기

클라이언트 포털은 일반 사용자 인터페이스이며 보통 https://vpn.example:943/ 에 있고, 관리는 https://vpn.example:943/admin 에 있습니다. 이는 기본 예시이고 호스트 이름, 포트, 리버스 프록시에 따라 달라지므로 운영자가 준 주소를 사용하세요. 관리자 경로에 먼저 로그인하는 것이 가장 흔한 실수이며, 관리자 세션은 계정을 만들고 관리할 수 있지만 터널을 실어 나를 계정은 아닙니다.

그 사람이 아직 로그인할 수 없다면 여기서 멈추고 먼저 그것을 고치세요. 비밀번호 재설정, 빠진 그룹 할당, 또는 가져온 인증 항목으로만 존재하는 계정이 있으면 어떤 브라우저를 써도 다운로드가 막히고, 관리자 자신의 세션에서 내려받으면 관리자의 프로필이 만들어지는데 그것이 바로 다른 사람의 노트북에 남아서는 안 되는 파일입니다.

확인 2: 자기 버전에 맞는 다운로드 제어 찾기

로그인하면 포털은 페이지 위쪽 가까이에 연결 프로필 제어 항목을 보여 줍니다. Access Server 2.14 이상에서는 자습서가 이를 “아래에서 프로필 다운로드” 아래의 연결 프로필 섹션으로 설명합니다. 포털이 미리 구성된 OpenVPN Connect 설치 프로그램도 제공한다면 이는 서로 다른 두 가지 전달로, 하나는 프로필이 이미 붙은 상태로 클라이언트를 설치하고 다른 하나는 이미 가진 클라이언트로 가져올 파일을 줍니다.

여기서는 버전이 중요합니다. 오래된 포털은 같은 버튼에 다른 이름을 붙일 수 있고, 크게 사용자화된 포털은 그 항목을 공지 아래로 옮길 수 있으므로, 섹션이 아예 없다면 URL을 추측하지 말고 경로를 실험하는 대신 정책 확인으로 넘어가세요. 제어 항목이 없다는 것은 거의 항상 서버 쪽 결정입니다.

확인 3: 파일이 무엇에 고정되어 있는지 읽기

사용자에게 고정된 프로필에는 한 사용자에게 발급된 클라이언트 인증서와 키가 내장되어 있고, 서버는 그 신원을 해당 계정에 매핑합니다. 파일 이름을 바꾸거나 표시 이름을 편집하거나 프롬프트에서 다른 자격 증명을 입력해도 매핑은 바뀌지 않으므로, 복사한 프로필은 두 번째 사람에게 라우팅 문제가 아니라 인증 또는 인증서 오류로 실패하며, 가진 것이 무엇인지 확인해야 한다면 파일 안을 보세요.

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

인증서 개수는 신원이 내장되어 있음을 알려 주고, remote 줄은 서버만 지목합니다. 따라서 같은 서버를 가리키는 두 파일이 서로 다른 사람의 것일 수 있고, 서버 두 개를 가리키는 파일 하나 도 원래 소유자에게 묶여 있습니다. 서버에 고정된 프로필과 자동 로그인 프로필은 허용되는 사용 모델이 또 다릅니다. 서버에 고정된 프로필은 연결 시점에 자격 증명을 기대하고, 자동 로그인 프로필은 설계상 비밀번호 프롬프트를 건너뛰므로, 어느 것도 파일을 편집해서 다른 유형이 되지 않습니다.

확인 4: 정책이 그 유형을 허용하는지 확인하기

어떤 프로필 유형이 존재하는지는 관리자 설정이지 클라이언트의 선호가 아닙니다. 포털이 사용자 고정 다운로드만 제공한다면 서버가 다른 유형을 허용하지 않거나 그 계정의 그룹이 받지 못하는 유형을 허용할 수 있습니다. 빠진 버튼이 나타나게 하려고 관리자에게 다른 유형을 켜 달라고 요청하는 것은 실제 결과가 따르는 정책 변경이며, 다운로드 페이지에 닿으려고 다중 요소 인증을 없애는 것은 인증 통제를 편의와 맞바꾸는 일입니다.

버전에 따라 관리자 웹 UI는 사용자에 대한 프로필 관리도 제공하며, 관리자는 그 사람으로 로그인하지 않고도 프로필을 발급하거나 취소할 수 있습니다. 그 기능이 없는 곳에서는 사용자가 자기 파일을 내려받습니다. 어느 경우든 올바른 출처는 의도한 계정이며, 템플릿처럼 다루는 복사된 관리자 프로필은 결코 아닙니다.

확인 5: 전달하고, 그 뒤에도 취소할 수 있게 유지하기

다운로드를 구성 파일이 아니라 자격 증명 자료로 다루고, 사용자 고정 프로필에는 개인 키가 들어 있으므로 비밀번호에 쓸 통로로 전달하며 공유 드라이브 폴더나 채팅 그룹으로 보내지 마세요. 어떤 사용자와 어떤 기기가 어떤 파일을 받았는지 기록하세요. 취소는 계정 단위여서, 노트북이 교체되거나 분실되면 관리자가 그 사용자의 접근을 취소하고 새 프로필을 발급하며 예전 파일은 다음 연결 시도에서 동작을 멈춥니다.

포털 로그인이 의도한 사용자였는지, 파일에 서버 주소만이 아니라 신원이 들어 있는지, 의도한 클라이언트에서 시험 연결 하나가 성공하는지, 다른 계정을 쓰는 두 번째 연결이 실패하는지 이 네 가지를 이 순서로 확인하며 끝내세요. 네 번째가 성공한다면 잘못된 파일을 배포한 것이고, 다음 단계는 구성 편집이 아니라 취소입니다. 전체 내용은 Access Server 다운로드 자습서 에서 현재 포털 배치와 프로필, 미리 구성된 설치 프로그램의 차이를 볼 수 있습니다.