Last ned OpenVPN Access Server-profil: riktig konto

Ein brukarlåst Access Server-profil vert laga for éin konto og avviser alle andre, så nedlastingsteget avgjer kven fila høyrer til før noka klientinnstilling tel. Rekkjefølgja nedanfor er den eg gir alle som ber om «VPN-fila»: logg inn som personen som skal bruka ho, finn kontrollen for serverversjonen din, les kva fila er låst til, stadfest at policyen tillèt den typen, og overlever ho deretter på ein måte der du framleis kan kalla ho tilbake. Stopp ved det første steget som feilar; kvart seinare steg føreset at det førre heldt.

Kontroll 1: logg inn som kontoen, ikkje som administratoren

Klientportalen er det vanlege brukargrensesnittet, vanlegvis på https://vpn.example:943/, medan administrasjonen ligg på https://vpn.example:943/admin. Dette er standarddøme; vertsnamn, portar og omvende proxyar endrar dei, så bruk adressa operatøren din gav deg. Å logga inn på adminstien først er den vanlegaste feilen, fordi adminøkta kan oppretta og administrera kontoar, men er ikkje kontoen som skal bera tunnelen.

Viss personen enno ikkje kan logga inn, stopp her og fiks det først: ei tilbakestilling av passord, ei manglande gruppetildeling eller ein konto som berre finst som ei importert autentiseringsoppføring vil blokkera nedlastinga uansett kva nettlesar du prøver. Å lasta ned frå administratøren si eiga økt gir administratøren sin profil, og det er nettopp fila som ikkje skal enda på nokon annan sin berbare datamaskin.

Kontroll 2: finn nedlastingskontrollen for versjonen din

Når du er innlogga, viser portalen ein tilkoplingsprofilkontroll nær toppen av sida. For Access Server 2.14 og nyare skildrar rettleiinga han som seksjonen Tilkoplingsprofil under «Last ned profilen din nedanfor». Der portalen også tilbyr ein førehandskonfigurert OpenVPN Connect-installasjon, er det to ulike overleveringar: den eine installerer klienten med profilen allereie vedlagd, den andre gir deg ei fil du kan importera i ein klient du allereie har.

Versjonen tel her. Ein eldre portal kan merkja den same knappen annleis, og ein sterkt tilpassa portal kan flytta han under ei melding. Viss seksjonen manglar heilt, ikkje byrja å gjeta på URL-ar: gå til policykontrollen i staden for å eksperimentera med stiar, fordi ein manglande kontroll nesten alltid er ei avgjerd på serversida.

Kontroll 3: les kva fila er låst til

Ein brukarlåst profil ber eit innebygd klient sertifikat og nøkkel utferda til éin brukar, og serveren knyter den identiteten til den kontoen. Å gje fila nytt namn, redigera visningsnamnet eller skriva andre påloggingsdetaljar ved ledeteksten endrar ikkje koplinga, og difor feilar ein kopiert profil hjå den andre personen med ein autentiserings- eller sertifikatfeil i staden for eit ruteproblem. Sjå inni fila viss du må stadfesta kva du har:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Talet på sertifikat fortel deg at ein identitet er innebygd; linjene remote nemner berre serveren. To filer som peikar på same server kan difor høyra til ulike personar, og éi fil som peikar på to serverar er framleis bunden til sin opphavlege eigar. Serverlåste profilar og auto-innloggingsprofilar har igjen andre tillatne bruksmodellar: ein serverlåst profil ventar påloggingsdetaljar ved tilkopling, og ein auto-innloggingsprofil hoppar over passordledeteksten etter design. Ingen av dei vert ein annan type ved å redigera fila.

Kontroll 4: stadfest at policyen tillèt den typen

Kva profiltype som finst er ei administratorinnstilling, ikkje ein klientpreferanse. Viss portalen berre tilbyr ei brukarlåst nedlasting, tillèt kanskje ikkje serveren nokon annan type, eller han tillèt ein som gruppa til kontoen ikkje får. Å be administratoren slå på ein annan type slik at ein manglande knapp dukkar opp er ei policyendring med reelle følgjer, og å fjerna fleirfaktorautentisering for å nå ei nedlastingsside byter ein autentiseringskontroll mot komfort.

Avhengig av versjonen viser Admin Web UI også profiladministrasjon for ein brukar, der ein administrator kan gje ut eller kalla tilbake ein profil utan å logga inn som den personen. Der denne moglegheita manglar, lastar brukaren ned si eiga fil. Uansett er den rette kjelda den tiltenkte kontoen, aldri ein kopiert administratorprofil handsama som mal.

Kontroll 5: overlever, og hald ho deretter tilbakekallbar

Handsam nedlastinga som legitimasjonsmateriale og ikkje som ei konfigurasjonsfil. Ein brukarlåst profil inneheld ein privat nøkkel, så ho bør reisa over ein kanal du ville bruka for eit passord, ikkje gjennom ei delt stasjonsmappe eller ei chattegruppe. Noter kva brukar og kva eining som fekk kva fil, fordi tilbakekalling skjer per konto: når ein berbar PC vert bytt ut eller mista, kallar administratoren tilbake tilgangen til den brukaren og gjev ut ein ny profil, og den gamle fila sluttar å verka ved neste tilkoplingsforsøk.

Avslutt med fire kontrollar i denne rekkjefølgja: portalinnlogginga var den tiltenkte brukaren, fila inneheld ein identitet og ikkje berre ei serveradresse, éi prøvetilkopling frå den tiltenkte klienten lukkast, og ei anna tilkopling med ein annan konto mislukkast. Viss den fjerde lukkast, har du distribuert feil fil, og tilbakekalling er neste steg i staden for ei konfigurasjonsendring. Rettleiinga for nedlasting av Access Server viser gjeldande portallayout og skilnaden mellom ein profil og ein førehandskonfigurert installasjonsfil.