OpenVPN Access Server profila lejupielāde: pareizais konts

Lietotājam piesaistīts Access Server profils tiek izveidots vienam kontam un noraida visus pārējos, tāpēc lejupielādes solis nosaka, kam fails pieder, pirms jebkurš klienta iestatījums kļūst svarīgs. Zemāk dotā secība ir tā, ko sniedzu ikvienam, kurš lūdz „VPN failu“: piesakieties kā persona, kas to izmantos, atrodiet vadīklu savai servera versijai, izlasiet, kam fails ir piesaistīts, pārliecinieties, ka politika atļauj šo veidu, un pēc tam nododiet to tā, lai vēl varētu atsaukt. Apstājieties pie pirmā neveiksmīgā soļa; katrs nākamais solis pieņem, ka iepriekšējais ir izpildīts.

1. pārbaude: piesakieties kā konts, nevis kā administrators

Klienta portāls ir parastā lietotāja saskarne, parasti adresē https://vpn.example:943/, bet administrēšana atrodas adresē https://vpn.example:943/admin. Tie ir noklusējuma piemēri; resursdatora nosaukumi, porti un reversie starpniekserveri tos maina, tāpēc izmantojiet adresi, ko jums devis operators. Vispirms pieteikšanās administratora ceļā ir visbiežākā kļūda, jo administratora sesija var veidot un pārvaldīt kontus, bet tā nav kontu, kas nesīs tuneli.

Ja persona vēl nevar pieteikties, apstājieties šeit un vispirms to izlabojiet: paroles atiestatīšana, trūkstošs grupas piešķīrums vai konts, kas pastāv tikai kā importēts autentifikācijas ieraksts, bloķēs lejupielādi neatkarīgi no pārlūka, ko mēģināsiet. Lejupielādējot no paša administratora sesijas, tiek iegūts administratora profils, un tieši šis fails nedrīkst nonākt kāda cita klēpjdatorā.

2. pārbaude: atrodiet savas versijas lejupielādes vadīklu

Pēc pieteikšanās portāls rāda savienojuma profila vadīklu lapas augšdaļā. Access Server 2.14 un jaunākās versijās apmācība to apraksta kā sadaļu Savienojuma profils zem „Lejupielādējiet savu profilu zemāk“. Ja portāls piedāvā arī iepriekš konfigurētu OpenVPN Connect instalētāju, tie ir divi dažādi nodošanas veidi: viens instalē klientu ar jau pievienotu profilu, otrs dod failu importēšanai jau esošā klientā.

Versijai šeit ir nozīme. Vecāks portāls var marķēt to pašu pogu citādi, un stipri pielāgots portāls var to pārvietot zem paziņojuma. Ja sadaļas vispār nav, nesāciet minēt URL: pārejiet uz politikas pārbaudi, nevis eksperimentējiet ar ceļiem, jo trūkstoša vadīkla gandrīz vienmēr ir servera puses lēmums.

3. pārbaude: izlasiet, kam fails ir piesaistīts

Lietotājam piesaistīts profils satur iegultu klienta sertifikātu un atslēgu, kas izsniegti vienam lietotājam, un serveris šo identitāti saista ar šo kontu. Faila pārdēvēšana, redzamā nosaukuma rediģēšana vai citu akreditācijas datu ievadīšana uzvednē saistījumu nemaina, tāpēc kopēts profils otrajai personai neizdodas ar autentifikācijas vai sertifikāta kļūdu, nevis ar maršrutēšanas problēmu. Ieskatieties failā, ja jums jāpārliecinās, kas jums ir:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Sertifikātu skaits parāda, ka identitāte ir iegulta; rindas remote nosauc tikai serveri. Tāpēc divi faili, kas norāda uz vienu un to pašu serveri, var piederēt dažādiem cilvēkiem, un viens fails, kas norāda uz diviem serveriem, joprojām ir saistīts ar savu sākotnējo īpašnieku. Serverim piesaistītiem profiliem un automātiskās pieteikšanās profiliem atkal ir citi atļautie lietošanas modeļi: serverim piesaistīts profils sagaida akreditācijas datus savienošanās laikā, un automātiskās pieteikšanās profils pēc konstrukcijas izlaiž paroles uzvedni. Neviens no tiem nemainās citā veidā, rediģējot failu.

4. pārbaude: pārliecinieties, ka politika atļauj šo veidu

Tas, kādi profila veidi pastāv, ir administratora iestatījums, nevis klienta izvēle. Ja portāls piedāvā tikai lietotājam piesaistītu lejupielādi, serveris var neļaut nevienu citu veidu vai atļaut tādu, ko konta grupa nesaņem. Lūgt administratoram iespējot citu veidu, lai parādītos trūkstoša poga, ir politikas maiņa ar reālām sekām, un daudzfaktoru autentifikācijas noņemšana, lai nokļūtu lejupielādes lapā, apmaina autentifikācijas kontroli pret ērtībām.

Atkarībā no versijas administratora tīmekļa saskarne piedāvā arī profila pārvaldību lietotājam, kur administrators var izsniegt vai atsaukt profilu, nepiesakoties kā šī persona. Kur šī iespēja nav pieejama, lietotājs lejupielādē savu failu. Jebkurā gadījumā pareizais avots ir paredzētais konts, nekad kopēts administratora profils, kas izmantots kā veidne.

5. pārbaude: nododiet un pēc tam saglabājiet atsaucamu

Uz lejupielādi raugieties kā uz akreditācijas materiālu, nevis kā uz konfigurācijas failu. Lietotājam piesaistīts profils satur privāto atslēgu, tāpēc tam jāceļo pa kanālu, ko izmantotu parolei, nevis pa koplietotu diska mapi vai tērzēšanas grupu. Pierakstiet, kurš lietotājs un kura ierīce saņēma kuru failu, jo atsaukšana notiek pa kontiem: kad klēpjdators tiek nomainīts vai pazaudēts, administrators atsauc šī lietotāja piekļuvi un izsniedz jaunu profilu, un vecais fails pārstāj darboties nākamajā savienojuma mēģinājumā.

Noslēdziet ar četrām pārbaudēm šādā secībā: pieteikšanās portālā bija paredzētais lietotājs, fails satur identitāti, nevis tikai servera adresi, viens testa savienojums no paredzētā klienta izdodas, un otrs savienojums ar citu kontu neizdodas. Ja ceturtais izdodas, esat izplatījis nepareizo failu, un nākamais solis ir atsaukšana, nevis konfigurācijas rediģēšana. Access Server lejupielādes apmācība parāda pašreizējo portāla izkārtojumu un atšķirību starp profilu un iepriekš konfigurētu instalētāju.