Kif tgħaqqad profil tal-klijent OpenVPN mill-fajls maħruġa

L-operatur tiegħek jagħtik pakkett CA, ċertifikat tal-klijent u ċ-ċavetta tiegħu, u l-klijent ma jibdiex qabel ma dawn jiġu konnessi fi profil wieħed. Il-profil hija konfigurazzjoni: jipponta lejn dawk il-fajls, ma jġibhomx fih, u l-editjar tiegħu ma jistax jibdlu f'ċertifikat. Din il-gwida tibda minn laptop diġà approvat u tispiċċa b'profil li tista' tniedi minn direttorju magħruf. Ma toħloqx CA, ma tirreġistrax ċertifikat ġdid u ma tmissx is-server.

L-għan hawn huwa klijent tal-linja tal-kmand OpenVPN 2.6 għal Linux, immexxi b'TUN fuq UDP, b'aċċertament taċ-ċertifikat.

Iġbor biss il-fajls tan-naħa tal-klijent

Aħdem f'direttorju protett u iġbor il-materjal tal-fiduċja CA approvat, iċ-ċertifikat tal-klijent maħruġ lilek u ċ-ċavetta privata li taqbel miegħu. F'dan l-eżempju l-ismijiet huma ca.crt, laptop-a.crt u laptop-a.key. L-ismijiet tal-fajls huma biss tikketti; ma jgħidu xejn dwar dak li jinsab f'kull fajl.

Jekk iġġenerajt iċ-ċavetta waqt ir-reġistrazzjoni, qatt ma ħarġet mill-magna; mill-ħareġ għandhom jirritornaw biss iċ-ċertifikat iffirmat u l-katina pubblika. Iċċekkja li ċ-ċertifikat ikollu r-rwol tal-klijent li s-servizz jistenna. Iċċekkja wkoll li ċ-ċavetta tappartjeni għal dak iċ-ċertifikat u mhux għal wieħed eqdem minn attentat preċedenti. Par li ma jaqbilx jipproduċi falliment TLS ħafna aktar tard, li jidher bħala problema tas-server.

Ħalli ċ-ċavetta privata tal-iffirmar tas-CA, iċ-ċavetta privata tas-server u l-parametri DH barra minn dan il-pakkett.

Qabbad il-fajls fi profil żgħir

Il-profil hawn taħt huwa qasir apposta. Kull linja jew tagħżel il-punt tat-tmiem, jew tillimita l-identità li l-klijent se jaċċetta, jew tipponta lejn wieħed mit-tliet fajls.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Il-linja remote tagħżel il-punt tat-tmiem tan-netwerk. remote-cert-tls server tinsisti li l-parti l-oħra tippreżenta ċertifikat bir-rwol tas-server. verify-x509-name tiffissa l-isem mistenni, hawn vpn-gateway bħala Common Name taċ-ċertifikat tas-server bil-qasam tal-isem awtomatiku ta' OpenVPN. Dak il-valur mhuwiex derivat mill-isem tal-host DNS, għalhekk uża l-iskema tal-identità li pprovda l-operatur.

Twarrabx dawk il-verifiki biss għax punt tat-tmiem tat-test juri ċertifikat differenti.

Dan il-profil bażiku jassumi li m'hemmx sfida tal-kont separata u lanqas ċavetta tal-kanal tal-kontroll. Jekk is-servizz jeħtieġ auth-user-pass, tls-auth jew tls-crypt, żomm il-konfigurazzjoni u l-materjal li ngħatajt, għax sigriet tal-kanal tal-kontroll li tiġġenera int stess ma jaqbilx ma' dak tas-server. Żomm ukoll il-politika taċ-ċifrar tas-servizz minflok ma timporta linji tal-kompressjoni jew taċ-ċifrar minn eżempju qadim.

Agħmel id-direttorju tax-xogħol espliċitu

Mogħdijiet relattivi jsegwu d-direttorju tax-xogħol tal-proċess, mhux il-post tal-fajl .ovpn.

Dan jissorprendi lil min iċaqlaq il-profil għal folder ġdid u jistenna li ċ-ċavetta ssegwi. Għal direttorju magħżul mill-amministratur, il-kmand hawn taħt jaqleb għal mogħdija assoluta qabel ma jaqra l-profil u r-referenzi tiegħu.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Kreatur tal-importazzjoni tad-desktop jew servizz tas-sistema jista' jippakkja d-dipendenzi għalik u japplika regoli tiegħu stess. Jista' juża wkoll direttorju tax-xogħol differenti minn dak li ttestjajt fih. Ikkonferma kif il-metodu tat-tnedija tiegħek isolvi l-mogħdijiet taċ-ċavetta, iċ-ċertifikat u s-CA. It-tċaqliq tal-fajl .ovpn biss ma jċaqlaqx iċ-ċavetta privata separata.

Żomm iċ-ċavetta tinqara biss mill-utent jew mill-identità tas-servizz maħsuba.

Ivverifika l-kunsinna, mhux l-ismijiet tal-fajls

Qabel l-ewwel konnessjoni awtorizzata, iċċekkja l-punt tat-tmiem, l-identità taċ-ċertifikat, il-ħareġ u t-tieqa tal-validità. Imbagħad ikkonferma li r-referenzi tal-fajls jiġu solvuti mid-direttorju tax-xogħol li se tuża tassew. Wara l-konnessjoni, ittestja l-imġiba tal-applikazzjoni u tad-DNS li l-politika tal-indirizzar għandha tipprovdi. Tliet fajls li jinqraw ma jippruvaw xejn dwar l-awtorizzazzjoni tas-server jew dwar mogħdija tar-riżorsa li tista' tintuża.

Jekk tidher talba għall-frażi tal-password, hija taċ-ċavetta privata, mhux tal-kont VPN.

Fl-aħħar, inventarja l-pakkett bħala materjal tal-kredenzjali. Li tagħti l-istess ċertifikat u ċavetta lil laptop ieħor tikkopja l-identità, u li tbiddel l-isem tal-fajl ma jagħtik reġistrazzjoni oħra. Din hija d-differenza bejn li tgħaqqad profil u li toħroġu.