Cara memasang profil klien OpenVPN daripada fail yang dikeluarkan

Operator anda menyerahkan satu berkas CA, sijil klien dan kuncinya, dan klien tidak akan bermula sehingga semuanya disambungkan dalam satu profil. Profil ialah konfigurasi: ia menunjuk kepada fail-fail itu, tidak mengandunginya, dan menyuntingnya tidak boleh menjadikannya sijil. Panduan ini bermula daripada komputer riba yang sudah diluluskan dan berakhir dengan profil yang boleh anda lancarkan dari direktori yang diketahui. Ia tidak mencipta CA, tidak mendaftarkan sijil baharu dan tidak menyentuh pelayan.

Sasaran di sini ialah klien baris arahan OpenVPN 2.6 untuk Linux, dihalakan dengan TUN melalui UDP, dengan pengesahan sijil.

Kumpulkan hanya fail sebelah klien

Bekerja dalam direktori terlindung dan kumpulkan bahan kepercayaan CA yang diluluskan, sijil klien yang dikeluarkan kepada anda dan kunci peribadi yang sepadan dengannya. Dalam contoh ini namanya ialah ca.crt, laptop-a.crt dan laptop-a.key. Nama fail hanyalah label; ia tidak menyatakan apa-apa tentang kandungan setiap fail.

Jika anda menjana kunci semasa pendaftaran, ia tidak pernah meninggalkan mesin; daripada pengeluar hanya sijil yang ditandatangani dan rantaian awam perlu kembali. Semak bahawa sijil membawa peranan klien yang dijangka oleh perkhidmatan. Semak juga bahawa kunci itu milik sijil tersebut dan bukan sijil lama daripada percubaan sebelumnya. Pasangan yang tidak sepadan menghasilkan kegagalan TLS jauh kemudian, yang kelihatan seperti masalah pelayan.

Biarkan kunci tandatangan peribadi CA, kunci peribadi pelayan dan parameter DH di luar pakej ini.

Sambungkan fail dalam profil kecil

Profil di bawah sengaja pendek. Setiap baris sama ada memilih titik akhir, mengehadkan identiti yang akan diterima oleh klien, atau menunjuk kepada salah satu daripada tiga fail.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Baris remote memilih titik akhir rangkaian. remote-cert-tls server menuntut pihak lawan mengemukakan sijil dengan peranan pelayan. verify-x509-name menetapkan nama yang dijangka, di sini vpn-gateway sebagai Common Name sijil pelayan dengan medan nama lalai OpenVPN. Nilai itu tidak disimpulkan daripada nama hos DNS, jadi gunakan skema identiti yang diberikan oleh operator.

Jangan lepaskan semakan itu hanya kerana titik akhir ujian menunjukkan sijil yang berbeza.

Profil asas ini menganggap tiada cabaran akaun berasingan dan tiada kunci saluran kawalan. Jika perkhidmatan memerlukan auth-user-pass, tls-auth atau tls-crypt, kekalkan konfigurasi dan bahan yang diberikan kepada anda, kerana rahsia saluran kawalan yang anda jana sendiri tidak akan sepadan dengan yang dipegang pelayan. Kekalkan juga dasar penyulitan perkhidmatan daripada mengimport baris pemampatan atau penyulitan daripada contoh lama.

Jadikan direktori kerja eksplisit

Laluan relatif mengikut direktori kerja proses, bukan lokasi fail .ovpn.

Itu mengejutkan orang yang memindahkan profil ke folder baharu dan menjangka kunci akan mengikutinya. Untuk direktori yang dipilih oleh pentadbir, arahan di bawah beralih kepada laluan mutlak sebelum membaca profil dan rujukannya.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Wizard import desktop atau perkhidmatan sistem boleh membungkus kebergantungan untuk anda dan menggunakan peraturannya sendiri. Ia juga boleh menggunakan direktori kerja yang berbeza daripada yang anda uji. Sahkan bagaimana kaedah pelancaran anda menyelesaikan laluan kunci, sijil dan CA. Memindahkan hanya fail .ovpn tidak memindahkan kunci peribadi yang berasingan.

Simpan kunci boleh dibaca hanya oleh pengguna atau identiti perkhidmatan yang dimaksudkan.

Sahkan penyerahan, bukan nama fail

Sebelum sambungan sah pertama, semak titik akhir, identiti sijil, pengeluar dan tetingkap kesahihan. Kemudian sahkan bahawa rujukan fail diselesaikan daripada direktori kerja yang benar-benar akan anda gunakan. Selepas bersambung, uji tingkah laku aplikasi dan DNS yang sepatutnya disediakan oleh dasar penghalaan. Tiga fail yang boleh dibaca tidak membuktikan apa-apa tentang kebenaran pelayan atau laluan sumber yang boleh digunakan.

Jika gesaan frasa laluan muncul, ia milik kunci peribadi, bukan akaun VPN.

Akhir sekali, inventori pakej sebagai bahan kelayakan. Menyerahkan sijil dan kunci yang sama kepada komputer riba kedua menyalin identiti, dan menamakan semula fail tidak memberi anda pendaftaran kedua. Itulah perbezaan antara memasang profil dan mengeluarkannya.