Kaip surinkti OpenVPN kliento profilį iš išduotų failų

ovpn failas yra konfigūracija, o ne sertifikatas. Surinkite vieną kliento profilį iš išduotos CA, sertifikato ir rakto, tada užfiksuokite tapatybę ir katalogą.

Jūsų operatorius perduoda CA paketą, kliento sertifikatą ir jo raktą, o klientas nepasileis, kol jie nebus sujungti į vieną profilį. Profilis yra konfigūracija: jis nurodo tuos failus, jų nelaiko, ir redaguojant jo negalima paversti sertifikatu. Vadovas prasideda jau patvirtintame nešiojamajame kompiuteryje ir baigiasi profiliu, kurį galite paleisti iš žinomo katalogo. Jis nesukuria CA, neįregistruoja naujo sertifikato ir neliečia serverio.

Čia tikslas yra Linux OpenVPN 2.6 komandinės eilutės klientas, maršrutizuotas TUN per UDP, su sertifikato autentifikavimu.

Rinkite tik kliento pusės failus

Dirbkite apsaugotame kataloge ir surinkite patvirtintą CA pasitikėjimo medžiagą, jums išduotą kliento sertifikatą ir jį atitinkantį privatų raktą. Šiame pavyzdyje pavadinimai yra ca.crt, laptop-a.crt ir laptop-a.key. Failų pavadinimai yra tik etiketės; jie nieko nesako apie tai, ką kiekvienas failas turi.

Jei raktą sukūrėte registracijos metu, jis niekada nepaliko mašinos; iš išdavėjo turi grįžti tik pasirašytas sertifikatas ir viešoji grandinė. Patikrinkite, ar sertifikatas turi kliento vaidmenį, kurio tikisi paslauga. Taip pat patikrinkite, ar raktas priklauso tam sertifikatui, o ne ankstesniam iš buvusio bandymo. Nesuderinta pora sukelia TLS gedimą daug vėliau, ir jis atrodo kaip serverio problema.

Palikite CA privatų pasirašymo raktą, serverio privatų raktą ir DH parametrus už šio paketo ribų.

Sujunkite failus į mažą profilį

Toliau pateiktas profilis tyčia trumpas. Kiekviena eilutė arba pasirenka galinį tašką, arba apriboja tapatybę, kurią klientas priims, arba nurodo vieną iš trijų failų.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote eilutė pasirenka tinklo galinį tašką. remote-cert-tls server reikalauja, kad kita pusė pateiktų serverio vaidmens sertifikatą. verify-x509-name užfiksuoja laukiamą pavadinimą, čia vpn-gateway kaip serverio sertifikato Common Name su OpenVPN numatytuoju pavadinimo lauku. Ši reikšmė nėra išvedama iš DNS hosto pavadinimo, todėl naudokite operatoriaus pateiktą tapatybės schemą.

Neatsisakykite tų patikrų vien todėl, kad bandomasis galinis taškas rodo kitą sertifikatą.

Šis bazinis profilis daro prielaidą, kad nėra atskiro paskyros iššūkio ir valdymo kanalo rakto. Jei paslaugai reikia auth-user-pass, tls-auth arba tls-crypt, pasilikite konfigūraciją ir gautą medžiagą, nes patys sugeneruota valdymo kanalo paslaptis nesutaps su serverio turima. Pasilikite ir paslaugos šifravimo politiką, užuot importavę suspaudimo ar šifravimo eilutes iš seno pavyzdžio.

Padarykite darbo katalogą aiškų

Santykiniai keliai seka proceso darbo katalogą, o ne failo .ovpn vietą.

Tai nustebina žmones, kurie perkelia profilį į naują aplanką ir tikisi, kad raktas keliaus kartu. Administratoriaus pasirinktam katalogui toliau pateikta komanda pereina į absoliutų kelią prieš skaitydama profilį ir jo nuorodas.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Darbalaukio importavimo vedlys arba sistemos tarnyba gali supakuoti priklausomybes už jus ir taikyti savo taisykles. Ji taip pat gali naudoti kitą darbo katalogą nei tas, kuriame testavote. Patvirtinkite, kaip jūsų paleidimo būdas išsprendžia rakto, sertifikato ir CA kelius. Perkėlus tik failą .ovpn, atskiras privatus raktas neperkeliamas.

Laikykite raktą skaitomą tik numatytam naudotojui arba paslaugos tapatybei.

Tikrinkite perdavimą, o ne failų pavadinimus

Prieš pirmąjį autorizuotą prisijungimą patikrinkite galinį tašką, sertifikato tapatybę, išdavėją ir galiojimo laikotarpį. Tada patvirtinkite, kad failų nuorodos išsprendžiamos iš darbo katalogo, kurį iš tikrųjų naudosite. Prisijungę išbandykite programos ir DNS elgseną, kurią turėtų užtikrinti maršrutizavimo politika. Trys skaitomi failai nieko neįrodo apie serverio autorizaciją ar naudojamą išteklių kelią.

Jei pasirodo slaptafrazės užklausa, ji priklauso privačiam raktui, o ne VPN paskyrai.

Galiausiai inventorizuokite paketą kaip prisijungimo duomenų medžiagą. To paties sertifikato ir rakto perdavimas antram nešiojamajam kompiuteriui nukopijuoja tapatybę, o failo pervadinimas nesuteikia antros registracijos. Tai skirtumas tarp profilio surinkimo ir jo išdavimo.

Susiję straipsniai