Берилген файлдардан OpenVPN кардар профилин кантип куроо керек

Операторуңуз CA топтомун, кардар сертификатын жана анын ачкычын берет, жана булар бир профилге туташтырылмайынча кардар иштебейт. Профиль — конфигурация: ал ошол файлдарды көрсөтөт, аларды өзүндө камтыбайт, жана аны оңдоо менен сертификатка айландыруу мүмкүн эмес. Нускама мурунтан бекитилген ноутбуктан башталып, белгилүү каталогдон иштетүүгө боло турган профиль менен бүтөт. Ал CA түзбөйт, жаңы сертификат каттабайт жана серверге тийбейт.

Бул жерде максат — Linux үчүн OpenVPN 2.6 буйрук сабынын кардары, UDP аркылуу TUN менен маршрутталган, сертификат аркылуу аутентификацияланган.

Кардар тараптагы файлдарды гана чогултуңуз

Корголгон каталогдо иштеп, бекитилген CA ишеним материалын, сизге берилген кардар сертификатын жана ага туура келген жеке ачкычты чогултуңуз. Бул мисалда аттар — ca.crt, laptop-a.crt жана laptop-a.key. Файл аттары жөн гана белгилер; алар ар бир файл эмнени камтыйт деген жөнүндө эч нерсе айтпайт.

Эгер ачкычты каттоо учурунда жараткан болсоңуз, ал машинадан эч качан чыккан эмес; чыгарган тараптан тек кол коюлган сертификат жана ачык чынжыр кайтышы керек. Сертификат кызмат күткөн кардар ролун алып жүргөнүн текшериңиз. Ачкыч ошол сертификатка таандык экенин, мурунку аракеттин эски сертификатына эмес экенин да текшериңиз. Далакелбеген жуп алда канча кеч TLS бузулушун пайда кылат, ал сервердин көйгөйүнө окшош көрүнөт.

CAнын жеке кол коюу ачкычын, сервердин жеке ачкычын жана DH параметрлерин бул топтомдон сыртка калтырыңыз.

Файлдарды кичине профилге туташтырыңыз

Төмөнкү профиль атайын кыска. Ар бир сап же акыркы чекитти тандайт, же кардар кабыл ала турган инсандыкты чектейт, же үч файлдын бирин көрсөтөт.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote сабы тармактын акыркы чекитин тандайт. remote-cert-tls server каршы тарап сервер ролундагы сертификат көрсөтүшүн талап кылат. verify-x509-name күтүлгөн атты бекитет, бул жерде vpn-gateway сервер сертификатынын Common Name катары OpenVPNдин демейки ат талаасы менен. Бул маани DNS хост атынан алынбайт, ошондуктан оператор берген инсандык схемасын колдонуңуз.

Сыноо акыркы чекити башка сертификат көрсөттү деп гана бул текшерүүлөрдөн баш тартпаңыз.

Бул негизги профиль өзүнчө эсеп чакырыгы жана башкаруу каналынын ачкычы жок деп эсептейт. Эгер кызматка auth-user-pass, tls-auth же tls-crypt керек болсо, конфигурацияны жана сизге берилген материалды сактаңыз, анткени өзүңүз жараткан башкаруу каналынын сыры сервердеги менен дал келбейт. Эски мисалдан кысуу же шифр саптарын импорттоонун ордуна кызматтын шифр саясатын да сактаңыз.

Жумуш каталогун ачык кыл

Салыштырмалуу жолдор процесстин жумуш каталогуна таянат, .ovpn файлынын жайгашкан жерине эмес.

Бул профилди жаңы папкага которуп, ачкыч да кошо кетет деп күткөндөрдү таң калтырат. Администратор тандаган каталог үчүн төмөнкү буйрук профилди жана анын шилтемелерин окуудан мурун абсолюттук жолго өтөт.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Иш тактанын импорт устасы же системалык кызмат көз карандылыктарды сиз үчүн таңуулашы мүмкүн жана өз эрежелерин колдонушу мүмкүн. Ал сиз сынаган каталогдон башка жумуш каталогун да колдонушу мүмкүн. Иштетүү ыкмаңыз ачкыч, сертификат жана CA жолдорун кантип чечерин ырастаңыз. Жалгыз .ovpn файлын жылдыруу өзүнчө жеке ачкычты жылдырбайт.

Ачкычты гана арналган колдонуучу же кызмат инсандыгы окуй ала тургандай кармаңыз.

Файл аттарын эмес, өткөрүп берүүнү текшериңиз

Биринчи уруксат берилген туташуудан мурун акыркы чекитти, сертификаттын инсандыгын, чыгарган тарапты жана жарактуулук терезесин текшериңиз. Анан файл шилтемелери чындап колдоно турган жумуш каталогуңуздан чечилерин ырастаңыз. Туташкандан кийин маршруттоо саясаты камсыз кылышы керек болгон колдонмо жана DNS жүрүм-турумун сынаңыз. Үч окула турган файл сервердин уруксаты же колдонууга боло турган ресурс жолу жөнүндө эч нерсени далилдебейт.

Эгер сырсөз фразасын суроо пайда болсо, ал жеке ачкычка таандык, VPN эсебине эмес.

Акырында, топтомду ыйгарым укук материалы катары эсепке алыңыз. Ошол эле сертификат менен ачкычты экинчи ноутбукка берүү инсандыкты көчүрөт, ал эми файлдын атын өзгөртүү экинчи каттоону бербейт. Профиль куроо менен аны берүүнүн ортосундагы айырма ушунда.