Преземање на профил за OpenVPN Access Server: вистинската сметка

Профил на Access Server заклучен на корисник се создава за една сметка и ја одбива секоја друга, па чекорот на преземање одлучува кому му припаѓа датотеката пред било кое клиентско поставување да има значење. Редоследот подолу е оној што им го давам на сите што бараат „VPN датотеката“: најавете се како лицето што ќе ја користи, пронајдете го елементот за управување за вашата верзија на серверот, прочитајте на што е заклучена датотеката, потврдете дека политиката го дозволува тој тип и потоа предадете ја на начин на кој сѐ уште можете да ја отповикате. Запрете на првиот чекор што нема да успее; секој следен чекор претпоставува дека претходниот важел.

Проверка 1: најавете се како сметката, не како администраторот

Клиентскиот портал е вообичаениот кориснички интерфејс, обично на https://vpn.example:943/, додека администрацијата е на https://vpn.example:943/admin. Ова се стандардни примери; имињата на домаќините, портовите и обратните посредници ги менуваат, затоа користете ја адресата што ви ја дал операторот. Најавувањето најпрво на администраторската патека е најчестата грешка, бидејќи администраторската сесија може да создава и управува сметки, но не е сметката што ќе го носи тунелот.

Ако лицето сѐ уште не може да се најави, запрете тука и прво тоа поправете го: ресетирање на лозинка, недостигачка доделување на група или сметка што постои само како увезен запис за автентикација ќе го блокираат преземањето без оглед кој прелистувач ќе го пробате. Преземањето од сопствената сесија на администраторот го дава профилот на администраторот, а токму таа датотека не смее да заврши на туѓ преносен сметач.

Проверка 2: пронајдете го елементот за преземање за вашата верзија

По најавувањето, порталот прикажува елемент за управување со профил за поврзување близу горниот дел од страницата. За Access Server 2.14 и понови, упатството го опишува како дел Профил за поврзување под „Преземете го вашиот профил подолу“. Каде порталот нуди и однапред конфигуриран инсталатор на OpenVPN Connect, тоа се две различни предавања: едното го инсталира клиентот со веќе прикачен профил, другото ви дава датотека за увезување во клиент што веќе го имате.

Верзијата е важна овде. Постар портал може да го означи истото копче поинаку, а силно прилагоден портал може да го премести под известување. Ако делот целосно недостасува, не почнувајте да погодувате URL-адреси: преминете на проверката на политиката наместо да експериментирате со патеки, бидејќи елементот што недостасува речиси секогаш е одлука на страната на серверот.

Проверка 3: прочитајте на што е заклучена датотеката

Профилот заклучен на корисник носи вграден клиентски сертификат и клуч издадени за еден корисник, и серверот го поврзува тој идентитет со таа сметка. Преименувањето на датотеката, уредувањето на нејзиното прикажано име или внесувањето други акредитиви при поканата не го менуваат поврзувањето, и затоа копираниот профил не успева кај второто лице со грешка при автентикација или сертификат, а не со проблем со рутирање. Погледнете внатре во датотеката ако треба да потврдите што имате:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Бројот на сертификати ви кажува дека идентитетот е вграден; линиите remote го именуваат само серверот. Затоа две датотеки што покажуваат на ист сервер можат да припаѓаат на различни луѓе, а една датотека што покажува на два сервери сѐ уште е врзана за својот првичен сопственик. Профилите заклучени на сервер и профилите со автоматска најава имаат повторно различни дозволени модели на употреба: профилот заклучен на сервер очекува акредитиви при поврзување, а профилот со автоматска најава по дизајн ја прескокнува поканата за лозинка. Ниту еден од нив не станува друг тип со уредување на датотеката.

Проверка 4: потврдете дека политиката го дозволува тој тип

Кои типови профили постојат е поставка на администраторот, а не претпочитање на клиентот. Ако порталот нуди само преземање заклучено на корисник, серверот може да не дозволува ниту еден друг тип или да дозволува тип што групата на сметката не го добива. Барањето од администраторот да овозможи друг тип за да се појави копче што недостасува е промена на политика со вистински последици, а отстранувањето на повеќефакторската автентикација за да се стигне до страница за преземање ја заменува контролата на автентикација за удобност.

Во зависност од верзијата, административниот веб интерфејс нуди и управување со профили за корисник, каде администраторот може да издаде или отповика профил без да се најави како тоа лице. Каде таа можност недостасува, корисникот ја презема сопствената датотека. Во секој случај, правилниот извор е предвидената сметка, никогаш копиран административен профил третиран како шаблон.

Проверка 5: предадете ја, а потоа држете ја отповиклива

Третирајте го преземањето како акредитивен материјал, а не како конфигурациска датотека. Профилот заклучен на корисник содржи приватен клуч, затоа треба да патува преку канал што би го користеле за лозинка, а не преку споделена папка на диск или група за разговор. Забележете кој корисник и кој уред добиле која датотека, бидејќи отповикувањето е по сметка: кога преносниот сметач се заменува или се губи, администраторот го отповикува пристапот на тој корисник и издава нов профил, а старата датотека престанува да работи при следниот обид за поврзување.

Завршете со четири проверки по овој редослед: најавувањето на порталот беше предвидениот корисник, датотеката содржи идентитет, а не само адреса на сервер, една пробна врска од предвидениот клиент успева, а втора врска со друга сметка не успева. Ако четвртата успее, сте дистрибуирале погрешна датотека, а следниот чекор е отповикување, а не уредување на конфигурацијата. Упатството за преземање на Access Server го прикажува тековниот распоред на порталот и разликата меѓу профил и однапред конфигуриран инсталатор.