Slik setter du sammen en OpenVPN-klientprofil fra utstedte filer

Operatøren din overleverer en CA-pakke, et klientsertifikat og nøkkelen til det, og klienten starter ikke før de er koblet sammen i én profil. Profilen er konfigurasjon: den peker på filene, den inneholder dem ikke, og du kan ikke gjøre den om til et sertifikat ved å redigere den. Gjennomgangen begynner på en allerede godkjent bærbar datamaskin og slutter med en profil du kan starte fra en kjent katalog. Den oppretter ikke en CA, registrerer ikke et nytt sertifikat og rører ikke serveren.

Målet her er en OpenVPN 2.6-kommandolinjeklient for Linux, rutet TUN over UDP, med sertifikatautentisering.

Samle bare filene på klientsiden

Arbeid i en beskyttet katalog og samle inn det godkjente CA-tillitsmaterialet, det utstedte klientsertifikatet ditt og den private nøkkelen som hører til. I dette eksempelet er navnene ca.crt, laptop-a.crt og laptop-a.key. Filnavnene er bare etiketter; de sier ingenting om hva hver fil inneholder.

Hvis du genererte nøkkelen under registreringen, forlot den aldri maskinen; fra utstederen skal bare det signerte sertifikatet og den offentlige kjeden komme tilbake. Kontroller at sertifikatet bærer klientrollen tjenesten forventer. Kontroller også at nøkkelen hører til det sertifikatet og ikke til et tidligere fra et tidligere forsøk. Et par som ikke passer sammen gir en TLS-feil mye senere, og den ser ut som et serverproblem.

Hold CA-ens private signeringsnøkkel, serverens private nøkkel og DH-parametrene utenfor denne pakken.

Koble filene sammen i en liten profil

Profilen nedenfor er med vilje kort. Hver linje velger enten endepunktet, begrenser identiteten klienten vil godta, eller peker på en av de tre filene.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Linjen remote velger nettverksendepunktet. remote-cert-tls server krever at motparten legger fram et sertifikat med serverrolle. verify-x509-name fester det forventede navnet, her vpn-gateway som Common Name for serversertifikatet med OpenVPNs standardnavnefelt. Den verdien utledes ikke fra DNS-vertsnavnet, så bruk identitetsskjemaet operatøren oppga.

Ikke sløyf disse kontrollene bare fordi et testendepunkt viser et annet sertifikat.

Denne basisprofilen forutsetter ingen egen kontoutfordring og ingen nøkkel for kontrollkanalen. Hvis tjenesten trenger auth-user-pass, tls-auth eller tls-crypt, beholder du konfigurasjonen og materialet du fikk, for en hemmelighet for kontrollkanalen som du genererer selv, vil ikke samsvare med den serveren har. Behold også tjenestens chifferpolitikk i stedet for å importere komprimerings- eller chifferlinjer fra et gammelt eksempel.

Gjør arbeidskatalogen eksplisitt

Relative stier følger prosessens arbeidskatalog, ikke plasseringen av .ovpn-filen.

Det overrasker folk som flytter profilen til en ny mappe og forventer at nøkkelen følger med. For en katalog administratoren har valgt, bytter kommandoen nedenfor til en absolutt sti før den leser profilen og referansene dens.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

En importveiviser på skrivebordet eller en systemtjeneste kan pakke avhengighetene for deg og bruke egne regler. Den kan også bruke en annen arbeidskatalog enn den du testet i. Bekreft hvordan startmetoden din løser stiene til nøkkel, sertifikat og CA. Å flytte bare .ovpn-filen flytter ikke den separate private nøkkelen.

Hold nøkkelen lesbar bare for den tiltenkte brukeren eller tjenesteidentiteten.

Verifiser overleveringen, ikke filnavnene

Før den første autoriserte tilkoblingen, kontroller endepunktet, sertifikatets identitet, utstederen og gyldighetsvinduet. Bekreft deretter at filreferansene løses fra arbeidskatalogen du faktisk vil bruke. Etter tilkobling, test applikasjons- og DNS-oppførselen som rutingpolitikken skal gi. Tre lesbare filer beviser ingenting om serverautorisasjon eller om en brukbar ressurssti.

Hvis en passfraseforespørsel dukker opp, hører den til den private nøkkelen, ikke til en VPN-konto.

Til slutt, inventer pakken som legitimasjonsmateriale. Å gi samme sertifikat og nøkkel til en ekstra bærbar datamaskin kopierer identiteten, og å gi filen nytt navn gir deg ikke en ny registrering. Det er forskjellen mellom å sette sammen en profil og å utstede en.