Олгосон файлуудаас OpenVPN клиентийн профайлыг хэрхэн угсрах вэ

Таны оператор CA багц, клиентийн гэрчилгээ болон түүний түлхүүрийг өгдөг бөгөөд эдгээр нь нэг профайлд холбогдох хүртэл клиент ажиллахгүй. Профайл бол тохиргоо: энэ нь тэдгээр файлыг заадаг, өөртөө агуулдаггүй, мөн засварлаад гэрчилгээ болгож чадахгүй. Энэхүү заавар нь аль хэдийн зөвшөөрөгдсөн зөөврийн компьютерээс эхэлж, мэдэгдэж буй хавтаснаас ажиллуулж болох профайлаар төгсдөг. Энэ нь CA үүсгэхгүй, шинэ гэрчилгээ бүртгэхгүй, серверт хүрэхгүй.

Энд зорилго нь Linux-д зориулсан OpenVPN 2.6 командын мөрийн клиент бөгөөд UDP дээгүүр TUN-аар чиглүүлж, гэрчилгээгээр баталгаажуулна.

Зөвхөн клиентийн талын файлуудыг цуглуулна

Хамгаалагдсан хавтаст ажиллаж, зөвшөөрөгдсөн CA итгэмжлэлийн материал, танд олгосон клиентийн гэрчилгээ болон түүнд тохирох хувийн түлхүүрийг цуглуулна. Энэ жишээнд нэрс нь ca.crt, laptop-a.crt болон laptop-a.key юм. Файлын нэрс зөвхөн шошго; тэд файл бүр юу агуулж байгааг юу ч хэлэхгүй.

Хэрэв та түлхүүрийг бүртгэлийн үеэр үүсгэсэн бол энэ нь машинаас хэзээ ч гарч байгаагүй; олгогчоос зөвхөн гарын үсэг зурсан гэрчилгээ болон нийтийн гинжийг буцааж авах шаардлагатай. Гэрчилгээ нь үйлчилгээний хүлээж буй клиентийн үүргийг агуулж байгаа эсэхийг шалгана. Түлхүүр нь тэр гэрчилгээнд хамаарах бөгөөд өмнөх оролдлогын хуучин гэрчилгээнд биш гэдгийг ч шалгана. Тохирохгүй хос нь хамаагүй хожуу TLS алдаа үүсгэдэг бөгөөд энэ нь серверийн асуудал мэт харагдана.

CA-ийн хувийн гарын үсгийн түлхүүр, серверийн хувийн түлхүүр болон DH параметрүүдийг энэ багцаас гадуур үлдээнэ.

Файлуудыг жижиг профайлд холбоно

Доорх профайл зориуд богино. Мөр бүр нь төгсгөлийн цэгийг сонгох, клиентийн хүлээн авах таних мэдээллийг хязгаарлах, эсвэл гурван файлын аль нэгийг заах зэргийн аль нэгийг хийнэ.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote мөр сүлжээний төгсгөлийн цэгийг сонгоно. remote-cert-tls server эсрэг тал серверийн үүрэгтэй гэрчилгээ үзүүлэхийг шаардана. verify-x509-name хүлээгдэж буй нэрийг тогтоох бөгөөд энд vpn-gateway серверийн гэрчилгээний Common Name болгон OpenVPN-ийн өгөгдмөл нэрийн талбартай хамт. Энэ утга нь DNS хостын нэрээс гаралгүй тул операторын өгсөн таних мэдээллийн схемыг ашиглана.

Зөвхөн туршилтын төгсгөлийн цэг өөр гэрчилгээ харуулж байгаа учраас эдгээр шалгалтыг орхих хэрэггүй.

Энэхүү үндсэн профайл нь тусдаа бүртгэлийн сорилт болон удирдлагын сувгийн түлхүүр байхгүй гэж үзнэ. Хэрэв үйлчилгээнд auth-user-pass, tls-auth эсвэл tls-crypt шаардлагатай бол өгөгдсөн тохиргоо болон материалыг хадгална, учир нь таны өөрөө үүсгэсэн удирдлагын сувгийн нууц серверийн эзэмшилтэй тохирохгүй. Хуучин жишээнээс шахалт эсвэл шифрийн мөрүүдийг оруулахын оронд үйлчилгээний шифрийн бодлогыг ч хадгална.

Ажлын хавтасыг тодорхой болго

Харьцангуй зам нь процессын ажлын хавтасыг дагадаг бөгөөд .ovpn файлын байршил биш.

Энэ нь профайлыг шинэ хавтас руу зөөхөд түлхүүр дагаад явна гэж хүлээдэг хүмүүсийг гайхшруулдаг. Администраторын сонгосон хавтасын хувьд доорх команд нь профайл болон түүний лавлагааг уншихаас өмнө үнэмлэхүй зам руу шилждэг.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Ширээний импортын шидтэн эсвэл системийн үйлчилгээ хамаарлуудыг таны оронд багцлаж болно бөгөөд өөрийн дүрмийг хэрэглэнэ. Таны туршсан хавтаснаас өөр ажлын хавтас ч ашиглаж болно. Таны ажиллуулах арга түлхүүр, гэрчилгээ, CA-ийн замыг хэрхэн шийдэж байгааг баталгаажуулна. Зөвхөн .ovpn файлыг зөөх нь тусдаа хувийн түлхүүрийг зөөхгүй.

Түлхүүрийг зөвхөн зориулсан хэрэглэгч эсвэл үйлчилгээний таних мэдээлэлд уншигдахуйц байлгана.

Файлын нэр биш, шилжүүлгийг шалгана

Эхний зөвшөөрөгдсөн холболтын өмнө төгсгөлийн цэг, гэрчилгээний таних мэдээлэл, олгогч болон хүчинтэй хугацааны цонхыг шалгана. Дараа нь файлын лавлагаа таны бодитоор ашиглах ажлын хавтаснаас шийдэгдэж байгааг баталгаажуулна. Холбогдсоны дараа чиглүүлэх бодлого нь хангах ёстой програмын болон DNS-ийн зан төлөвийг шалгана. Уншигдахуйц гурван файл нь серверийн зөвшөөрөл эсвэл ашиглаж болох нөөцийн зам талаар юу ч нотлохгүй.

Хэрэв нууц үг хэллэгийн хүсэлт гарч ирвэл энэ нь хувийн түлхүүрт хамаарах бөгөөд VPN бүртгэлд биш.

Эцэст нь багцыг итгэмжлэлийн материал болгон бүртгэнэ. Ижил гэрчилгээ болон түлхүүрийг хоёр дахь зөөврийн компьютерт өгөх нь таних мэдээллийг хуулна, файлын нэрийг өөрчилснөөр та хоёр дахь бүртгэл авахгүй. Профайл угсрах болон түүнийг олгох хоорондын ялгаа энэ юм.