Kā no izsniegtajiem failiem salikt OpenVPN klienta profilu

Jūsu operators nodod CA paketi, klienta sertifikātu un tā atslēgu, un klients neieslēgsies, kamēr tie nebūs savienoti vienā profilā. Profils ir konfigurācija: tas norāda uz šiem failiem, tos nesatur, un to rediģējot to nevar pārvērst par sertifikātu. Pamācība sākas ar jau apstiprinātu portatīvo datoru un beidzas ar profilu, ko varat palaist no zināmas direktorijas. Tā neveido CA, nereģistrē jaunu sertifikātu un neaiztiek serveri.

Šeit mērķis ir Linux OpenVPN 2.6 komandrindas klients, maršrutēts ar TUN pāri UDP, ar sertifikāta autentifikāciju.

Savāciet tikai klienta puses failus

Strādājiet aizsargātā direktorijā un savāciet apstiprināto CA uzticības materiālu, jums izsniegto klienta sertifikātu un tam atbilstošo privāto atslēgu. Šajā piemērā nosaukumi ir ca.crt, laptop-a.crt un laptop-a.key. Failu nosaukumi ir tikai etiķetes; tie neko nepasaka par to, ko satur katrs fails.

Ja atslēgu ģenerējāt reģistrācijas laikā, tā nekad nav atstājusi mašīnu; no izdevēja ir jāatgriežas tikai parakstītajam sertifikātam un publiskajai ķēdei. Pārbaudiet, vai sertifikāts nes klienta lomu, ko pakalpojums sagaida. Pārbaudiet arī, vai atslēga pieder šim sertifikātam, nevis vecākam no iepriekšēja mēģinājuma. Nesaskaņots pāris rada TLS kļūmi daudz vēlāk, un tā izskatās kā servera problēma.

Atstājiet CA privāto parakstīšanas atslēgu, servera privāto atslēgu un DH parametrus ārpus šīs paketes.

Savienojiet failus mazā profilā

Tālāk dotais profils ir apzināti īss. Katra rinda vai nu izvēlas galapunktu, vai ierobežo identitāti, ko klients pieņems, vai norāda uz vienu no trim failiem.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote rinda izvēlas tīkla galapunktu. remote-cert-tls server pieprasa, lai pretējā puse uzrādītu sertifikātu ar servera lomu. verify-x509-name fiksē gaidīto nosaukumu, šeit vpn-gateway kā servera sertifikāta Common Name ar OpenVPN noklusējuma nosaukuma lauku. Šī vērtība netiek atvasināta no DNS resursdatora nosaukuma, tāpēc izmantojiet operatora sniegto identitātes shēmu.

Neatmetiet šīs pārbaudes tikai tāpēc, ka testa galapunkts rāda citu sertifikātu.

Šis pamatprofils pieņem, ka nav atsevišķa konta izaicinājuma un vadības kanāla atslēgas. Ja pakalpojumam vajag auth-user-pass, tls-auth vai tls-crypt, saglabājiet konfigurāciju un saņemto materiālu, jo pašu ģenerēts vadības kanāla noslēpums nesakritīs ar to, kas ir serverim. Saglabājiet arī pakalpojuma šifrēšanas politiku, tā vietā lai importētu saspiešanas vai šifra rindas no veca piemēra.

Padariet darba direktoriju skaidru

Relatīvie ceļi seko procesa darba direktorijai, nevis faila .ovpn atrašanās vietai.

Tas pārsteidz cilvēkus, kuri pārvieto profilu uz jaunu mapi un gaida, ka atslēga sekos. Administratora izvēlētai direktorijai tālāk dotā komanda pirms profila un tā atsauču lasīšanas pārslēdzas uz absolūtu ceļu.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Darbvirsmas importēšanas vednis vai sistēmas pakalpojums var iepakot atkarības jūsu vietā un piemērot savus noteikumus. Tas var arī izmantot citu darba direktoriju nekā to, kurā testējāt. Pārliecinieties, kā jūsu palaišanas metode atrisina atslēgas, sertifikāta un CA ceļus. Pārvietojot tikai failu .ovpn, atsevišķā privātā atslēga netiek pārvietota.

Turiet atslēgu lasāmu tikai paredzētajam lietotājam vai pakalpojuma identitātei.

Pārbaudiet nodošanu, nevis failu nosaukumus

Pirms pirmā autorizētā savienojuma pārbaudiet galapunktu, sertifikāta identitāti, izdevēju un derīguma logu. Pēc tam apstipriniet, ka failu atsauces tiek atrisinātas no darba direktorijas, kuru patiešām izmantosiet. Pēc savienojuma pārbaudiet lietojumprogrammas un DNS uzvedību, kas maršrutēšanas politikai jānodrošina. Trīs lasāmi faili neko nepierāda par servera autorizāciju vai izmantojamu resursa ceļu.

Ja parādās paroles frāzes pieprasījums, tas pieder privātajai atslēgai, nevis VPN kontam.

Visbeidzot, inventarizējiet paketi kā akreditācijas materiālu. Tā paša sertifikāta un atslēgas nodošana otram portatīvajam datoram kopē identitāti, un faila pārdēvēšana nedod otru reģistrāciju. Tā ir atšķirība starp profila salikšanu un tā izsniegšanu.