जारी गरिएका फाइलबाट OpenVPN क्लाइन्ट प्रोफाइल कसरी जोड्ने

तपाईंको अपरेटरले CA बन्डल, क्लाइन्ट प्रमाणपत्र र त्यसको कुञ्जी दिन्छ, र यी एउटै प्रोफाइलमा जोडिएसम्म क्लाइन्ट सुरु हुँदैन। प्रोफाइल कन्फिगरेसन हो: यसले ती फाइलतर्फ संकेत गर्छ, तिनलाई आफूमा राख्दैन, र सम्पादन गर्दा यसलाई प्रमाणपत्र बनाउन सकिँदैन। यो मार्गदर्शन पहिले नै स्वीकृत ल्यापटपबाट सुरु भई ज्ञात डाइरेक्टरीबाट सुरु गर्न सकिने प्रोफाइलमा टुंगिन्छ। यसले CA बनाउँदैन, नयाँ प्रमाणपत्र दर्ता गर्दैन र सर्भरलाई छुँदैन।

यहाँ लक्ष्य Linux का लागि OpenVPN 2.6 कमाण्ड-लाइन क्लाइन्ट हो, UDP माथि TUN रुट गरिएको, प्रमाणपत्र प्रमाणीकरणसहित।

क्लाइन्ट-पक्षका फाइल मात्र सङ्कलन गर्नुहोस्

सुरक्षित डाइरेक्टरीमा काम गर्नुहोस् र स्वीकृत CA विश्वास सामग्री, तपाईंलाई जारी गरिएको क्लाइन्ट प्रमाणपत्र र त्यससँग मिल्ने निजी कुञ्जी सङ्कलन गर्नुहोस्। यो उदाहरणमा नामहरू ca.crt, laptop-a.crt र laptop-a.key हुन्। फाइलका नाम मात्र लेबल हुन्; तिनले प्रत्येक फाइलमा के छ भन्ने कुरा केही बताउँदैनन्।

यदि तपाईंले दर्ताको क्रममा कुञ्जी बनाउनुभयो भने त्यो कहिल्यै मेसिनबाट बाहिर गएन; जारी गर्नेबाट हस्ताक्षर गरिएको प्रमाणपत्र र सार्वजनिक शृंखला मात्र फर्कनुपर्छ। प्रमाणपत्रमा सेवाले अपेक्षा गर्ने क्लाइन्ट भूमिका छ कि छैन जाँच्नुहोस्। कुञ्जी त्यही प्रमाणपत्रको हो, अघिल्लो प्रयासको पुरानो प्रमाणपत्रको होइन भन्ने पनि जाँच्नुहोस्। नमिल्ने जोडीले धेरै पछि TLS असफलता उत्पन्न गर्छ, जुन सर्भरको समस्या जस्तो देखिन्छ।

CA को निजी हस्ताक्षर कुञ्जी, सर्भरको निजी कुञ्जी र DH प्यारामिटर यो प्याकेजबाहिर राख्नुहोस्।

फाइलहरू एउटा सानो प्रोफाइलमा जोड्नुहोस्

तलको प्रोफाइल जानाजान छोटो छ। प्रत्येक पङ्क्तिले एन्डपोइन्ट छान्छ, क्लाइन्टले स्वीकार गर्ने पहिचान सीमित गर्छ, वा तीनमध्ये एउटा फाइलतर्फ संकेत गर्छ।

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote पङ्क्तिले नेटवर्क एन्डपोइन्ट छान्छ। remote-cert-tls server ले विपक्षीले सर्भर-भूमिका भएको प्रमाणपत्र प्रस्तुत गर्नुपर्नेमा जोड दिन्छ। verify-x509-name ले अपेक्षित नाम पिन गर्छ, यहाँ vpn-gateway सर्भर प्रमाणपत्रको Common Name का रूपमा OpenVPN को पूर्वनिर्धारित नाम फिल्डसहित। यो मान DNS होस्टनामबाट अनुमान गरिँदैन, त्यसैले अपरेटरले दिएको पहिचान योजना प्रयोग गर्नुहोस्।

केवल परीक्षण एन्डपोइन्टले फरक प्रमाणपत्र देखाउँछ भनेर ती जाँच छोड्नु हुँदैन।

यो आधारभूत प्रोफाइलले छुट्टै खाता चुनौती र नियन्त्रण-च्यानल कुञ्जी नभएको मान्छ। यदि सेवालाई auth-user-pass, tls-auth वा tls-crypt चाहिन्छ भने दिइएको कन्फिगरेसन र सामग्री राख्नुहोस्, किनकि तपाईं आफैँले बनाउने नियन्त्रण-च्यानल गोप्य कुरा सर्भरसँग भएकोसँग मिल्दैन। पुरानो उदाहरणबाट कम्प्रेसन वा साइफर पङ्क्ति आयात गर्नुको सट्टा सेवाको साइफर नीति पनि राख्नुहोस्।

कार्य डाइरेक्टरी स्पष्ट बनाउनुहोस्

सापेक्ष मार्गहरू प्रक्रियाको कार्य डाइरेक्टरीलाई पछ्याउँछन्, .ovpn फाइलको स्थानलाई होइन।

यसले प्रोफाइल नयाँ फोल्डरमा सार्ने र कुञ्जी पनि सँगै जान्छ भन्ने अपेक्षा गर्नेहरूलाई अचम्मित बनाउँछ। प्रशासकले छानेको डाइरेक्टरीका लागि तलको आदेशले प्रोफाइल र त्यसका सन्दर्भ पढ्नुअघि पूर्ण मार्गमा जान्छ।

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

डेस्कटप आयात विजार्ड वा सिस्टम सेवाले तपाईंका लागि निर्भरताहरू प्याकेज गर्न सक्छ र आफ्नै नियम लागू गर्न सक्छ। यसले तपाईंले परीक्षण गरेको डाइरेक्टरीभन्दा फरक कार्य डाइरेक्टरी पनि प्रयोग गर्न सक्छ। तपाईंको लन्च विधिले कुञ्जी, प्रमाणपत्र र CA का मार्ग कसरी समाधान गर्छ भनी पुष्टि गर्नुहोस्। केवल .ovpn फाइल सार्दा छुट्टै निजी कुञ्जी सर्दैन।

कुञ्जीलाई केवल इच्छित प्रयोगकर्ता वा सेवा पहिचानका लागि पढ्न मिल्ने राख्नुहोस्।

फाइलका नाम होइन, हस्तान्तरण जाँच्नुहोस्

पहिलो अधिकृत जडानअघि एन्डपोइन्ट, प्रमाणपत्रको पहिचान, जारी गर्ने र वैधता अवधि जाँच्नुहोस्। त्यसपछि तपाईंले साँच्चै प्रयोग गर्ने कार्य डाइरेक्टरीबाट फाइल सन्दर्भ समाधान हुन्छन् भनी पुष्टि गर्नुहोस्। जडान गरेपछि रुटिङ नीतिले प्रदान गर्नुपर्ने अनुप्रयोग र DNS व्यवहार परीक्षण गर्नुहोस्। तीन पढ्न मिल्ने फाइलले सर्भर अनुमति वा प्रयोगयोग्य स्रोत मार्गबारे केही प्रमाणित गर्दैनन्।

पासफ्रेज सोध देखिएमा त्यो निजी कुञ्जीको हो, VPN खाताको होइन।

अन्तमा, प्याकेजलाई प्रमाण-सामग्रीका रूपमा सूचीबद्ध गर्नुहोस्। त्यही प्रमाणपत्र र कुञ्जी दोस्रो ल्यापटपलाई दिँदा पहिचानको प्रतिलिपि हुन्छ, र फाइलको नाम बदल्दा दोस्रो दर्ता पाइँदैन। प्रोफाइल जोड्ने र त्यसलाई जारी गर्नेबीचको फरक यही हो।