Wéi een en OpenVPN-Clientprofil aus ausgestallten Dateien zesummesetzt

Ären Operateur iwwergëtt Iech e CA-Bundle, e Clientzertifikat an de Schlëssel dozou, an de Client geet net un, bis dës an engem Profil verbonne sinn. De Profil ass Konfiguratioun: hie weist op déi Dateien, hien enthält se net, an duerch d'Ännere gëtt doraus keen Zertifikat. D'Virgëhen fänkt op engem schonn approuvéierte Laptop un an endegt mat engem Profil, deen Dir aus engem bekannten Verzeichnis starte kënnt. Et mécht keng CA, registréiert keen neien Zertifikat an deckt de Server net un.

D'Zil hei ass e Linux-OpenVPN-2.6-Kommandozeileclient, geroutet iwwer TUN op UDP, mat Zertifikatsauthentifiéierung.

Sammelt nëmmen d'Dateien op der Clientsäit

Schafft an engem geschützte Verzeichnis a sammelt deen approuvéierte CA-Vertrauensmaterial, är ausgestallt Clientzertifikat an de passenden private Schlëssel. An dësem Beispill sinn d'Nimm ca.crt, laptop-a.crt an laptop-a.key. D'Dateinimm sinn just Etiketten; si soen näischt doriwwer, wat all Datei enthält.

Wann Dir de Schlëssel bei der Umeldung generéiert hutt, huet en d'Maschinn ni verlooss; vum Aussteller musse just den ënnerschriwwenen Zertifikat an d'ëffentlech Kette zréckkommen. Kontrolléiert, ob den Zertifikat d'Clientroll dréit, déi den Déngscht erwaart. Kontrolléiert och, ob de Schlëssel zu deem Zertifikat gehéiert an net zu engem fréieren aus engem virege Versuch. En net passend Paar verursaacht vill méi spéit en TLS-Fehler, deen wéi e Serverproblem ausgesäit.

Loosst den private Signaturschlëssel vun der CA, den private Schlëssel vum Server an d'DH-Parameter aus dësem Paket eraus.

Verbindt d'Dateien an engem klengen Profil

De Profil hei drënner ass bewosst kuerz. All Zeil entweder wielt den Endpunkt, begrenzt d'Identitéit, déi de Client akzeptéiert, oder weist op eng vun den dräi Dateien.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

D'Zeil remote wielt den Netzwierk-Endpunkt. remote-cert-tls server verlaangt, datt de Géigeniwwer en Zertifikat mat Serverroll presentéiert. verify-x509-name fixéiert den erwaarten Numm, hei vpn-gateway als Common Name vum Serverzertifikat mam Standard-Nummefeld vun OpenVPN. Dee Wäert gëtt net vum DNS-Hostnumm ofgeleet, also benotzt dat Identitéitsschema, dat den Operateur uginn huet.

Loosst déi Kontrollen net fale just well en Test-Endpunkt en aneren Zertifikat weist.

Dëse Basisprofil geet dovun aus, datt et keng separat Kontusfuerderung an keen Schlëssel fir de Steierkanal gëtt. Wann den Déngscht auth-user-pass, tls-auth oder tls-crypt brauch, behält d'Konfiguratioun an de Material, deen Dir krut, well e Geheimnis fir de Steierkanal, dat Dir selwer generéiert, net mat deem vum Server iwwereneen ass. Behällt och d'Verschlësselungspolitik vum Déngscht, amplaz Kompressiouns- oder Verschlësselungszeilen aus engem ale Beispill ze importéieren.

Maacht d'Aarbechtsverzeichnis explizit

Relativ Weeër follegen dem Aarbechtsverzeichnis vum Prozess, net dem Plaz vun der .ovpn-Datei.

Dat iwwerrascht Leit, déi de Profil an en neien Dossier réckelen an erwaarden, datt de Schlëssel matkënnt. Fir en Dossier, deen den Administrateur ausgesicht huet, wiesselt de Kommando hei drënner op en absolute Wee, ier hien de Profil an seng Referenzen liest.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

En Desktop-Importassistent oder en Systemdéngscht kann d'Ofhängegkeeten fir Iech packen a seng eegen Reelen uwenden. Hie kann och en aneren Aarbechtsverzeichnis benotzen wéi deen, an deem Dir getest hutt. Bestätegt, wéi är Startmethod d'Weeër zum Schlëssel, Zertifikat an der CA oplést. Nëmmen d'.ovpn-Datei ze réckelen réckelt de separate private Schlëssel net.

Hält de Schlëssel just fir den intenden Benotzer oder d'Déngschtidentitéit liesbar.

Iwwerpréift d'Iwwergab, net d'Dateinimm

Virun der éischter autoriséierter Verbindung kontrolléiert den Endpunkt, d'Identitéit vum Zertifikat, den Aussteller an d'Gëltegkeetsfenster. Bestätegt duerno, datt d'Dateireferenzen aus dem Aarbechtsverzeichnis opgeléist ginn, dat Dir tatsächlech benotzt. No der Verbindung testt d'Verhalen vun der Applikatioun an DNS, dat d'Routingpolitik soll liwweren. Dräi liesbar Dateie beweisen näischt iwwer d'Serverautorisatioun oder iwwer en notzbarem Ressourcewee.

Wann eng Passphrase-Ufro erschéngt, gehéiert se zum private Schlëssel, net zu engem VPN-Konto.

Schlussendlech inventariséiert de Paket als Umeldungsmaterial. Datselwecht Zertifikat an dee selwechte Schlëssel engem zweete Laptop ze ginn kopéiert d'Identitéit, an d'Datei ëmzebenenn gëtt Iech keng zweet Umeldung. Dat ass den Ënnerscheed tëscht engem Profil zesummesetzen an en auszeginn.