Slik set du saman ein OpenVPN-klientprofil frå utstedde filer

Operatøren din overleverer ein CA-pakke, eit klientsertifikat og nøkkelen til det, og klienten startar ikkje før dei er kopla saman i éin profil. Profilen er konfigurasjon: han peikar på filene, han inneheld dei ikkje, og du kan ikkje gjere han om til eit sertifikat ved å redigere han. Gjennomgangen byrjar på ein allereie godkjend berbar datamaskin og sluttar med ein profil du kan starte frå ein kjend katalog. Han opprettar ikkje ein CA, registrerer ikkje eit nytt sertifikat og rører ikkje serveren.

Målet her er ein OpenVPN 2.6-kommandolinjeklient for Linux, ruta TUN over UDP, med sertifikatautentisering.

Samle berre filene på klientsida

Arbeid i ein verna katalog og samle inn det godkjende CA-tillitsmaterialet, det utstedde klientsertifikatet ditt og den private nøkkelen som høyrer til. I dette dømet er namna ca.crt, laptop-a.crt og laptop-a.key. Filnamna er berre etikettar; dei seier ingenting om kva kvar fil inneheld.

Viss du genererte nøkkelen under registreringa, forlét han aldri maskina; frå utstaden skal berre det signerte sertifikatet og den offentlege kjeda kome tilbake. Kontroller at sertifikatet ber klientrolla tenesta ventar. Kontroller òg at nøkkelen høyrer til det sertifikatet og ikkje til eit tidlegare frå eit tidlegare forsøk. Eit par som ikkje passar saman gir ein TLS-feil mykje seinare, og han ser ut som eit serverproblem.

Hald CA-en sin private signeringsnøkkel, serveren sin private nøkkel og DH-parametrane utanfor denne pakken.

Kople filene saman i ein liten profil

Profilen nedanfor er med vilje kort. Kvar linje vel anten endepunktet, avgrensar identiteten klienten vil godta, eller peikar på ei av dei tre filene.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Linja remote vel nettverksendepunktet. remote-cert-tls server krev at motparten legg fram eit sertifikat med serverrolle. verify-x509-name festar det venta namnet, her vpn-gateway som Common Name for serversertifikatet med OpenVPN sitt standardnamnefelt. Den verdien er ikkje utleidd frå DNS-vertnamnet, så bruk identitetsskemaet operatøren oppgav.

Ikkje sløyf dei kontrollane berre fordi eit testendepunkt viser eit anna sertifikat.

Denne basisprofilen føreset inga eiga kontoutfordring og ingen nøkkel for kontrollkanalen. Viss tenesta treng auth-user-pass, tls-auth eller tls-crypt, held du på konfigurasjonen og materialet du fekk, for ein hemmelegheit for kontrollkanalen som du genererer sjølv, vil ikkje samsvare med den serveren har. Hald òg på chifferpolitikken til tenesta i staden for å importere komprimerings- eller chifferlinjer frå eit gammalt døme.

Gjer arbeidskatalogen eksplisitt

Relative stiar følgjer arbeidskatalogen til prosessen, ikkje plasseringa av .ovpn-fila.

Det overraskar folk som flyttar profilen til ein ny mappe og ventar at nøkkelen følgjer med. For ein katalog administratoren har valt, byter kommandoen nedanfor til ein absolutt sti før han les profilen og referansane hans.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Ein importvegvisar på skrivebordet eller ei systemteneste kan pakke avhengnadene for deg og bruke eigne reglar. Ho kan òg bruke ein annan arbeidskatalog enn den du testa i. Stadfest korleis startmetoden din løyser stiane til nøkkel, sertifikat og CA. Å flytte berre .ovpn-fila flyttar ikkje den separate private nøkkelen.

Hald nøkkelen lesbar berre for den tiltenkte brukaren eller tenesteidentiteten.

Verifiser overleveringa, ikkje filnamna

Før den første autoriserte tilkoplinga, kontroller endepunktet, identiteten til sertifikatet, utstaden og gyldigheitsvindauget. Stadfest deretter at filreferansane blir løyste frå arbeidskatalogen du faktisk vil bruke. Etter tilkopling, test applikasjons- og DNS-åtferda som rutingpolitikken skal gi. Tre lesbare filer beviser ingenting om serverautorisasjon eller om ein brukbar ressurssti.

Viss ei passfraseførespurnad dukkar opp, høyrer ho til den private nøkkelen, ikkje til ein VPN-konto.

Til slutt, inventer pakken som legitimasjonsmateriale. Å gi same sertifikat og nøkkel til ein ekstra berbar datamaskin kopierer identiteten, og å gi fila nytt namn gir deg ikkje ei ny registrering. Det er skilnaden mellom å setje saman ein profil og å utstede ein.