Profiel downloaden voor OpenVPN Access Server: het juiste account

Een aan de gebruiker gekoppeld Access Server-profiel wordt voor één account gemaakt en weigert elk ander, dus de downloadstap bepaalt van wie het bestand is voordat enige clientinstelling ertoe doet. De volgorde hieronder is degene die ik iedereen geef die om “het VPN-bestand” vraagt: log in als de persoon die het gaat gebruiken, zoek de knop voor jouw serverversie, lees waaraan het bestand is gekoppeld, controleer of het beleid dat type toestaat en geef het daarna door op een manier waarop je het nog kunt intrekken. Stop bij de eerste stap die mislukt; elke latere stap veronderstelt dat de eerdere standhield.

Controle 1: log in als het account, niet als de beheerder

Het clientportaal is de gewone gebruikersinterface, meestal op https://vpn.example:943/, terwijl het beheer op https://vpn.example:943/admin staat. Dat zijn standaardvoorbeelden; hostnamen, poorten en reverse proxies veranderen ze, dus gebruik het adres dat je operator je gaf. Eerst op het beheerderspad inloggen is de meest voorkomende fout, omdat de beheersessie accounts kan aanmaken en beheren, maar niet het account is dat de tunnel zal dragen.

Als de persoon nog niet kan inloggen, stop hier en los dat eerst op: een wachtwoordreset, een ontbrekende groepstoewijzing of een account dat alleen als geïmporteerde authenticatievermelding bestaat, blokkeert de download welke browser je ook probeert. Downloaden vanuit de sessie van de beheerder zelf levert het profiel van de beheerder op, en dat is precies het bestand dat niet op iemand anders laptop mag belanden.

Controle 2: vind de downloadknop voor jouw versie

Zodra je bent ingelogd, toont het portaal een verbindingsprofielknop boven aan de pagina. Voor Access Server 2.14 en nieuwer beschrijft de tutorial die als sectie Verbindingsprofiel onder “Download je profiel hieronder”. Waar het portaal ook een vooraf geconfigureerde OpenVPN Connect-installatie biedt, zijn dat twee verschillende overdrachten: de ene installeert de client met het profiel er al aan vast, de andere geeft je een bestand om te importeren in een client die je al hebt.

De versie is hier van belang. Een ouder portaal kan dezelfde knop anders labelen, en een sterk aangepast portaal kan hem onder een melding schuiven. Als de sectie helemaal ontbreekt, ga dan niet gokken op URL's: ga naar de beleidscontrole in plaats van met paden te experimenteren, want een ontbrekende knop is bijna altijd een beslissing aan de serverkant.

Controle 3: lees waaraan het bestand is gekoppeld

Een aan de gebruiker gekoppeld profiel bevat een ingebed clientcertificaat en sleutel die voor één gebruiker zijn uitgegeven, en de server koppelt die identiteit aan dat account. Het bestand hernoemen, de weergavenaam bewerken of andere inloggegevens bij de prompt typen verandert de koppeling niet, en daarom mislukt een gekopieerd profiel bij de tweede persoon met een authenticatie- of certificaatfout in plaats van een routeringsprobleem. Kijk in het bestand als je wilt bevestigen wat je hebt:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Het aantal certificaten vertelt je dat er een identiteit is ingebed; de regels remote noemen alleen de server. Twee bestanden die naar dezelfde server wijzen kunnen dus van verschillende mensen zijn, en één bestand dat naar twee servers wijst blijft aan zijn oorspronkelijke eigenaar gebonden. Aan de server gekoppelde profielen en automatische inlogprofielen hebben weer andere toegestane gebruiksvormen: een aan de server gekoppeld profiel verwacht inloggegevens bij het verbinden, en een automatisch inlogprofiel slaat de wachtwoordprompt per ontwerp over. Geen ervan wordt een ander type door het bestand te bewerken.

Controle 4: bevestig dat het beleid dat type toestaat

Welke profieltypen bestaan is een instelling van de beheerder, niet een voorkeur van de client. Als het portaal alleen een aan de gebruiker gekoppelde download biedt, staat de server misschien geen ander type toe, of staat hij een type toe dat de groep van het account niet ontvangt. De beheerder vragen een ander type aan te zetten zodat een ontbrekende knop verschijnt, is een beleidswijziging met echte gevolgen, en multifactor-authenticatie weghalen om een downloadpagina te bereiken ruilt een authenticatiecontrole in voor gemak.

Afhankelijk van de versie biedt de beheerwebinterface ook profielbeheer voor een gebruiker, waar een beheerder een profiel kan uitgeven of intrekken zonder als die persoon in te loggen. Waar die mogelijkheid ontbreekt, downloadt de gebruiker zijn eigen bestand. Hoe dan ook is de juiste bron het bedoelde account, nooit een gekopieerd beheerdersprofiel dat als sjabloon wordt gebruikt.

Controle 5: geef het door en houd het daarna intrekbaar

Behandel de download als inloggegevensmateriaal en niet als configuratiebestand. Een aan de gebruiker gekoppeld profiel bevat een privésleutel, dus het hoort via een kanaal te reizen dat je voor een wachtwoord zou gebruiken, niet via een gedeelde schijfmap of een chatgroep. Noteer welke gebruiker en welk apparaat welk bestand kregen, want intrekken gebeurt per account: als een laptop wordt vervangen of kwijtraakt, trekt de beheerder de toegang van die gebruiker in en geeft een nieuw profiel uit, en het oude bestand werkt bij de volgende verbindingspoging niet meer.

Sluit af met vier controles in deze volgorde: de portaal-login was de bedoelde gebruiker, het bestand bevat een identiteit en niet alleen een serveradres, één testverbinding vanaf de bedoelde client slaagt, en een tweede verbinding met een ander account mislukt. Als de vierde slaagt, heb je het verkeerde bestand verspreid, en intrekken is de volgende stap in plaats van een configuratiewijziging. De Access Server-downloadtutorial toont de huidige portaalindeling en het verschil tussen een profiel en een vooraf geconfigureerde installatie.