जारी केलेल्या फाइलांवरून OpenVPN क्लायंट प्रोफाइल कसे तयार करावे

तुमचा ऑपरेटर CA बंडल, क्लायंट प्रमाणपत्र आणि त्याची की देतो, आणि हे एका प्रोफाइलमध्ये जोडले जाईपर्यंत क्लायंट सुरू होणार नाही. प्रोफाइल हे कॉन्फिगरेशन आहे: ते त्या फाइलांकडे निर्देश करते, त्या स्वतःमध्ये ठेवत नाही, आणि संपादित केल्याने त्याचे प्रमाणपत्र होऊ शकत नाही. हे मार्गदर्शक आधीच मंजूर केलेल्या लॅपटॉपपासून सुरू होते आणि ज्ञात डिरेक्टरीतून सुरू करता येईल अशा प्रोफाइलवर संपते. ते CA तयार करत नाही, नवीन प्रमाणपत्र नोंदवत नाही आणि सर्व्हरला स्पर्श करत नाही.

येथे उद्दिष्ट Linux साठी OpenVPN 2.6 कमांड-लाइन क्लायंट आहे, UDP वर TUN राउट केलेले, प्रमाणपत्र प्रमाणीकरणासह.

फक्त क्लायंट-बाजूच्या फाइल्स गोळा करा

संरक्षित डिरेक्टरीत काम करा आणि मंजूर CA विश्वास सामग्री, तुम्हाला जारी केलेले क्लायंट प्रमाणपत्र आणि त्याशी जुळणारी खाजगी की गोळा करा. या उदाहरणात नावे ca.crt, laptop-a.crt आणि laptop-a.key आहेत. फाइलची नावे फक्त लेबल आहेत; प्रत्येक फाइलमध्ये काय आहे याबद्दल ती काहीही सांगत नाहीत.

नोंदणीच्या वेळी तुम्ही की तयार केली असेल, तर ती कधीही मशीनमधून बाहेर पडली नाही; जारी करणाऱ्याकडून फक्त स्वाक्षरी केलेले प्रमाणपत्र आणि सार्वजनिक साखळी परत यायला हवी. प्रमाणपत्रात सेवा अपेक्षित असलेली क्लायंट भूमिका आहे का ते तपासा. की त्या प्रमाणपत्राची आहे, मागील प्रयत्नातील जुन्या प्रमाणपत्राची नाही याचीही खात्री करा. न जुळणारी जोडी खूप नंतर TLS अयशस्वीता निर्माण करते, जी सर्व्हरची समस्या वाटते.

CA ची खाजगी स्वाक्षरी की, सर्व्हरची खाजगी की आणि DH पॅरामीटर या पॅकेजबाहेर ठेवा.

फाइल्स एका लहान प्रोफाइलमध्ये जोडा

खालील प्रोफाइल जाणीवपूर्वक लहान आहे. प्रत्येक ओळ एकतर एंडपॉइंट निवडते, क्लायंट स्वीकारणारी ओळख मर्यादित करते, किंवा तीनपैकी एका फाइलकडे निर्देश करते.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote ओळ नेटवर्क एंडपॉइंट निवडते. remote-cert-tls server समोरच्या बाजूने सर्व्हर-भूमिकेचे प्रमाणपत्र सादर करण्याची मागणी करते. verify-x509-name अपेक्षित नाव पिन करते, येथे vpn-gateway सर्व्हर प्रमाणपत्राच्या Common Name म्हणून OpenVPN च्या डीफॉल्ट नाव फील्डसह. हे मूल्य DNS होस्टनावावरून काढले जात नाही, म्हणून ऑपरेटरने दिलेली ओळख योजना वापरा.

फक्त चाचणी एंडपॉइंट वेगळे प्रमाणपत्र दाखवते म्हणून त्या तपासण्या वगळू नका.

हे मूलभूत प्रोफाइल वेगळे खाते आव्हान आणि नियंत्रण-चॅनेल की नाही असे गृहीत धरते. सेवेला auth-user-pass, tls-auth किंवा tls-crypt आवश्यक असल्यास, दिलेले कॉन्फिगरेशन आणि सामग्री ठेवा, कारण तुम्ही स्वतः तयार केलेले नियंत्रण-चॅनेल रहस्य सर्व्हरकडील रहस्याशी जुळणार नाही. जुन्या उदाहरणातून कॉम्प्रेशन किंवा सायफर ओळी आयात करण्याऐवजी सेवेचे सायफर धोरणही ठेवा.

कार्य डिरेक्टरी स्पष्ट करा

सापेक्ष मार्ग प्रक्रियेच्या कार्य डिरेक्टरीचे अनुसरण करतात, .ovpn फाइलच्या स्थानाचे नाही.

हे अशा लोकांना आश्चर्यात टाकते जे प्रोफाइल नवीन फोल्डरमध्ये हलवतात आणि की सोबत येईल अशी अपेक्षा करतात. प्रशासकाने निवडलेल्या डिरेक्टरीसाठी, खालील आदेश प्रोफाइल आणि त्याचे संदर्भ वाचण्यापूर्वी संपूर्ण मार्गावर जातो.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

डेस्कटॉप आयात विझार्ड किंवा सिस्टम सेवा तुमच्यासाठी अवलंबनांचे पॅकेज करू शकते आणि स्वतःचे नियम लागू करू शकते. तुम्ही चाचणी केलेल्या डिरेक्टरीपेक्षा वेगळी कार्य डिरेक्टरीही ती वापरू शकते. तुमची लाँच पद्धत की, प्रमाणपत्र आणि CA चे मार्ग कसे सोडवते ते निश्चित करा. फक्त .ovpn फाइल हलवल्याने वेगळी खाजगी की हलत नाही.

की फक्त इच्छित वापरकर्ता किंवा सेवा ओळखीसाठी वाचनीय ठेवा.

फाइल नावे नाही, हस्तांतरण तपासा

पहिल्या अधिकृत कनेक्शनपूर्वी एंडपॉइंट, प्रमाणपत्राची ओळख, जारी करणारा आणि वैधता कालावधी तपासा. नंतर तुम्ही प्रत्यक्षात वापरणार असलेल्या कार्य डिरेक्टरीतून फाइल संदर्भ सोडवले जातात याची खात्री करा. कनेक्ट केल्यानंतर राउटिंग धोरणाने पुरवायचे असलेले अनुप्रयोग आणि DNS वर्तन तपासा. तीन वाचनीय फाइल्स सर्व्हर अधिकृतता किंवा वापरण्यायोग्य संसाधन मार्गाबद्दल काहीही सिद्ध करत नाहीत.

पासफ्रेझ प्रॉम्प्ट दिसल्यास तो खाजगी कीचा आहे, VPN खात्याचा नाही.

शेवटी, पॅकेजची ओळखपत्र सामग्री म्हणून यादी करा. तेच प्रमाणपत्र आणि की दुसऱ्या लॅपटॉपला देणे ओळखीची प्रत करते, आणि फाइलचे नाव बदलल्याने तुम्हाला दुसरी नोंदणी मिळत नाही. प्रोफाइल तयार करणे आणि ते जारी करणे यातील फरक हाच आहे.