Last ned OpenVPN Access Server-profil: riktig konto

En brukerlåst Access Server-profil opprettes for én konto og avviser alle andre, så nedlastingssteget avgjør hvem filen tilhører før noen klientinnstilling betyr noe. Rekkefølgen nedenfor er den jeg gir alle som ber om «VPN-filen»: logg inn som personen som skal bruke den, finn kontrollen for serverversjonen din, les hva filen er låst til, bekreft at policyen tillater den typen, og overlever den deretter på en måte der du fortsatt kan tilbakekalle den. Stopp ved det første trinnet som feiler; hvert senere trinn forutsetter at det forrige holdt.

Kontroll 1: logg inn som kontoen, ikke som administratoren

Klientportalen er det vanlige brukergrensesnittet, vanligvis på https://vpn.example:943/, mens administrasjonen ligger på https://vpn.example:943/admin. Dette er standardeksempler; vertsnavn, porter og omvendte proxyer endrer dem, så bruk adressen operatøren din ga deg. Å logge inn på adminstien først er den vanligste feilen, fordi adminøkten kan opprette og administrere kontoer, men er ikke kontoen som skal bære tunnelen.

Hvis personen ennå ikke kan logge inn, stopp her og fiks det først: en tilbakestilling av passord, en manglende gruppetildeling eller en konto som bare finnes som en importert autentiseringsoppføring vil blokkere nedlastingen uansett hvilken nettleser du prøver. Å laste ned fra administratorens egen økt gir administratorens profil, og det er nettopp filen som ikke skal ende på noen andres bærbare datamaskin.

Kontroll 2: finn nedlastingskontrollen for versjonen din

Når du er logget inn, viser portalen en tilkoblingsprofilkontroll nær toppen av siden. For Access Server 2.14 og nyere beskriver veiledningen den som seksjonen Tilkoblingsprofil under «Last ned profilen din nedenfor». Der portalen også tilbyr en forhåndskonfigurert OpenVPN Connect-installasjon, er det to forskjellige overleveringer: den ene installerer klienten med profilen allerede vedlagt, den andre gir deg en fil du kan importere i en klient du allerede har.

Versjon betyr noe her. En eldre portal kan merke den samme knappen annerledes, og en sterkt tilpasset portal kan flytte den under en melding. Hvis seksjonen mangler helt, ikke begynn å gjette på URL-er: gå til policykontrollen i stedet for å eksperimentere med stier, fordi en manglende kontroll nesten alltid er en beslutning på serversiden.

Kontroll 3: les hva filen er låst til

En brukerlåst profil bærer et innebygd klient sertifikat og nøkkel utstedt til én bruker, og serveren kobler den identiteten til den kontoen. Å gi filen nytt navn, redigere visningsnavnet eller skrive andre påloggingsdetaljer ved ledeteksten endrer ikke koblingen, og derfor feiler en kopiert profil for den andre personen med en autentiserings- eller sertifikatfeil i stedet for et rutingproblem. Se inni filen hvis du må bekrefte hva du har:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Antallet sertifikater forteller deg at en identitet er innebygd; linjene remote navngir bare serveren. To filer som peker på samme server kan derfor tilhøre forskjellige personer, og én fil som peker på to servere er fortsatt bundet til sin opprinnelige eier. Serverlåste profiler og auto-innloggingsprofiler har igjen andre tillatte bruksmodeller: en serverlåst profil forventer påloggingsdetaljer ved tilkobling, og en auto-innloggingsprofil hopper over passordledeteksten etter design. Ingen av dem blir en annen type ved å redigere filen.

Kontroll 4: bekreft at policyen tillater den typen

Hvilke profiltyper som finnes er en administratorinnstilling, ikke en klientpreferanse. Hvis portalen bare tilbyr en brukerlåst nedlasting, tillater kanskje ikke serveren noen annen type, eller den tillater en som kontoens gruppe ikke mottar. Å be administratoren aktivere en annen type slik at en manglende knapp dukker opp, er en policyendring med reelle konsekvenser, og å fjerne flerfaktorautentisering for å nå en nedlastingsside bytter en autentiseringskontroll mot bekvemmelighet.

Avhengig av versjonen viser Admin Web UI også profiladministrasjon for en bruker, der en administrator kan utstede eller tilbakekalle en profil uten å logge inn som den personen. Der denne muligheten mangler, laster brukeren ned sin egen fil. Uansett er den riktige kilden den tiltenkte kontoen, aldri en kopiert administratorprofil behandlet som mal.

Kontroll 5: overlever, og hold den deretter tilbakekallbar

Behandle nedlastingen som legitimasjonsmateriale og ikke som en konfigurasjonsfil. En brukerlåst profil inneholder en privat nøkkel, så den bør reise over en kanal du ville brukt for et passord, ikke gjennom en delt stasjonsmappe eller en chattegruppe. Noter hvilken bruker og hvilken enhet som fikk hvilken fil, fordi tilbakekalling skjer per konto: når en bærbar PC byttes ut eller mistes, tilbakekaller administratoren den brukerens tilgang og utsteder en ny profil, og den gamle filen slutter å virke ved neste tilkoblingsforsøk.

Avslutt med fire kontroller i denne rekkefølgen: portalinnloggingen var den tiltenkte brukeren, filen inneholder en identitet og ikke bare en serveradresse, én testtilkobling fra den tiltenkte klienten lykkes, og en annen tilkobling med en annen konto mislykkes. Hvis den fjerde lykkes, har du distribuert feil fil, og tilbakekalling er neste steg i stedet for en konfigurasjonsendring. Veiledningen for nedlasting av Access Server viser gjeldende portallayout og forskjellen mellom en profil og en forhåndskonfigurert installasjonsfil.