OpenVPN Access Server profilio atsisiuntimas: tinkama paskyra

Vartotojui priskirtas Access Server profilis sukuriamas vienai paskyrai ir atmeta visas kitas, todėl atsisiuntimo žingsnis nusprendžia, kam priklauso failas, anksčiau nei bet koks kliento nustatymas tampa svarbus. Žemiau pateikta tvarka yra ta, kurią duodu kiekvienam, kuris prašo „VPN failo“: prisijunkite kaip asmuo, kuris jį naudos, raskite valdiklį savo serverio versijai, perskaitykite, prie ko failas pririštas, patvirtinkite, kad politika leidžia tą tipą, ir tada perduokite jį taip, kad dar galėtumėte atšaukti. Sustokite ties pirmu nesėkmingu žingsniu; kiekvienas vėlesnis žingsnis daro prielaidą, kad ankstesnis pasitvirtino.

1 patikrinimas: prisijunkite kaip paskyra, o ne kaip administratorius

Kliento portalas yra įprasta vartotojo sąsaja, dažniausiai adresu https://vpn.example:943/, o administravimas yra adresu https://vpn.example:943/admin. Tai numatytieji pavyzdžiai; prieglobos vardai, prievadai ir atvirkštiniai tarpiniai serveriai juos keičia, todėl naudokite adresą, kurį jums davė operatorius. Pirmiausia prisijungti prie administratoriaus kelio yra dažniausia klaida, nes administratoriaus sesija gali kurti ir tvarkyti paskyras, bet tai ne ta paskyra, kuri neš tunelį.

Jei asmuo dar negali prisijungti, sustokite čia ir pirmiausia tai sutvarkykite: slaptažodžio atstatymas, trūkstamas grupės priskyrimas arba paskyra, egzistuojanti tik kaip importuotas autentifikavimo įrašas, blokuos atsisiuntimą, kad ir kokią naršyklę bandytumėte. Atsisiunčiant iš paties administratoriaus sesijos gaunamas administratoriaus profilis, ir būtent šis failas neturi atsidurti kito žmogaus nešiojamajame kompiuteryje.

2 patikrinimas: raskite savo versijos atsisiuntimo valdiklį

Prisijungus portalas rodo ryšio profilio valdiklį netoli puslapio viršaus. „Access Server“ 2.14 ir naujesnėse versijose mokymo medžiaga jį aprašo kaip skiltį „Ryšio profilis“, esančią po „Atsisiųskite savo profilį žemiau“. Kai portalas taip pat siūlo iš anksto sukonfigūruotą „OpenVPN Connect“ diegimo programą, tai du skirtingi perdavimai: vienas įdiegia klientą su jau pridėtu profiliu, kitas duoda failą, kurį importuosite į jau turimą klientą.

Versija čia svarbi. Senesnis portalas tą patį mygtuką gali pavadinti kitaip, o labai pritaikytas portalas gali jį perkelti po pranešimu. Jei skilties visai nėra, nepradėkite spėlioti URL: pereikite prie politikos patikrinimo, o ne eksperimentuokite su keliais, nes trūkstamas valdiklis beveik visada yra serverio pusės sprendimas.

3 patikrinimas: perskaitykite, prie ko failas pririštas

Vartotojui priskirtame profilyje yra įterptas kliento sertifikatas ir raktas, išduoti vienam vartotojui, ir serveris tą tapatybę susieja su ta paskyra. Pervadinant failą, keičiant rodomą jo pavadinimą ar įvedant kitus prisijungimo duomenis, susiejimas nesikeičia, todėl nukopijuotas profilis antrajam asmeniui nepavyksta dėl autentifikavimo arba sertifikato klaidos, o ne dėl maršrutizavimo problemos. Pažiūrėkite į failo vidų, jei reikia patvirtinti, ką turite:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Sertifikatų skaičius parodo, kad tapatybė yra įterpta; eilutės remote nurodo tik serverį. Todėl du failai, rodantys į tą patį serverį, gali priklausyti skirtingiems žmonėms, o vienas failas, rodantis į du serverius, vis tiek lieka susietas su savo pradiniu savininku. Serveriui priskirti profiliai ir automatinio prisijungimo profiliai vėl turi skirtingus leidžiamus naudojimo modelius: serveriui priskirtas profilis tikisi prisijungimo duomenų jungiantis, o automatinio prisijungimo profilis pagal savo konstrukciją praleidžia slaptažodžio užklausą. Nė vienas iš jų nekeičiamas į kitą tipą redaguojant failą.

4 patikrinimas: patvirtinkite, kad politika leidžia tą tipą

Kokie profilių tipai egzistuoja, yra administratoriaus nustatymas, o ne kliento pageidavimas. Jei portalas siūlo tik vartotojui priskirtą atsisiuntimą, serveris gali neleisti jokio kito tipo arba leisti tokį, kurio paskyros grupė negauna. Prašyti administratoriaus įjungti kitą tipą, kad atsirastų trūkstamas mygtukas, yra politikos pakeitimas su realiomis pasekmėmis, o daugiafaktorės autentifikacijos pašalinimas siekiant patekti į atsisiuntimo puslapį iškeičia autentifikavimo kontrolę į patogumą.

Priklausomai nuo versijos, administratoriaus žiniatinklio sąsaja taip pat siūlo profilio valdymą vartotojui, kur administratorius gali išduoti arba atšaukti profilį neprisijungęs kaip tas asmuo. Kur šios galimybės nėra, vartotojas atsisiunčia savo failą. Bet kuriuo atveju teisingas šaltinis yra numatyta paskyra, niekada nukopijuotas administratoriaus profilis, naudojamas kaip šablonas.

5 patikrinimas: perduokite, o po to laikykite atšaukiamą

Atsisiuntimą traktuokite kaip prisijungimo duomenų medžiagą, o ne kaip konfigūracijos failą. Vartotojui priskirtame profilyje yra privatus raktas, todėl jis turėtų keliauti kanalu, kurį naudotumėte slaptažodžiui, o ne bendru disko aplanku ar pokalbių grupe. Užsirašykite, kuris vartotojas ir kuris įrenginys gavo kurį failą, nes atšaukimas vykdomas pagal paskyrą: kai nešiojamasis kompiuteris pakeičiamas arba pametamas, administratorius atšaukia to vartotojo prieigą ir išduoda naują profilį, o senas failas nustoja veikti kitą kartą jungiantis.

Užbaikite keturiais patikrinimais šia tvarka: prisijungimas prie portalo buvo numatytas vartotojas, faile yra tapatybė, o ne vien serverio adresas, vienas bandomasis ryšys iš numatyto kliento pavyksta, o antras ryšys su kita paskyra nepavyksta. Jei ketvirtas pavyksta, paskirstėte netinkamą failą, ir kitas žingsnis yra atšaukimas, o ne konfigūracijos keitimas. „Access Server“ atsisiuntimo mokymo medžiaga rodo dabartinį portalo išdėstymą ir skirtumą tarp profilio ir iš anksto sukonfigūruotos diegimo programos.