Pobieranie profilu OpenVPN Access Server: właściwe konto

Profil Access Server przypisany do użytkownika powstaje dla jednego konta i odrzuca każde inne, więc etap pobierania decyduje, do kogo należy plik, zanim jakiekolwiek ustawienie klienta zacznie mieć znaczenie. Kolejność poniżej to ta, którą dają każdemu, kto prosi o „plik VPN”: zaloguj się jako osoba, która będzie go używać, znajdź kontrolkę dla swojej wersji serwera, przeczytaj, do czego plik jest przypisany, potwierdź, że polityka dopuszcza ten typ, a potem przekaż go w sposób, który nadal pozwala go odebrać. Zatrzymaj się na pierwszym kroku, który się nie uda; każdy następny zakłada, że poprzedni się utrzymał.

Kontrola 1: zaloguj się jako konto, nie jako administrator

Portal klienta to zwykły interfejs użytkownika, zwykle pod adresem https://vpn.example:943/, a administracja znajduje się pod adresem https://vpn.example:943/admin. To przykłady domyślne; nazwy hostów, porty i odwrotne proxy je zmieniają, więc użyj adresu podanego przez operatora. Zalogowanie się najpierw na ścieżkę administratora to najczęstszy błąd, bo sesja administratora może tworzyć konta i nimi zarządzać, ale nie jest kontem, które będzie przenosić tunel.

Jeśli osoba nadal nie może się zalogować, zatrzymaj się tutaj i najpierw to napraw: reset hasła, brakujące przypisanie do grupy albo konto istniejące tylko jako zaimportowany wpis uwierzytelniania zablokują pobieranie niezależnie od przeglądarki. Pobieranie z własnej sesji administratora daje profil administratora, a to jest dokładnie ten plik, który nie powinien trafić na cudzy laptop.

Kontrola 2: znajdź kontrolkę pobierania dla swojej wersji

Po zalogowaniu portal pokazuje kontrolkę profilu połączenia u góry strony. W Access Server 2.14 i nowszych samouczek opisuje ją jako sekcję Profil połączenia pod „Pobierz swój profil poniżej”. Gdy portal oferuje też wstępnie skonfigurowany instalator OpenVPN Connect, to dwa różne przekazania: jedno instaluje klienta z już dołączonym profilem, drugie daje plik do zaimportowania w kliencie, którego już używasz.

Wersja ma tu znaczenie. Starszy portal może oznaczyć ten sam przycisk inaczej, a mocno dostosowany portal może przenieść go pod komunikat. Jeśli sekcja w ogóle nie występuje, nie zaczynaj zgadywać adresów URL: przejdź do kontroli polityki zamiast eksperymentować ze ścieżkami, bo brakująca kontrolka prawie zawsze jest decyzją po stronie serwera.

Kontrola 3: przeczytaj, do czego plik jest przypisany

Profil przypisany do użytkownika zawiera osadzony certyfikat klienta i klucz wydane jednemu użytkownikowi, a serwer mapuje tę tożsamość na to konto. Zmiana nazwy pliku, edycja nazwy wyświetlanej lub wpisanie innych poświadczeń w monicie nie zmienia mapowania, dlatego skopiowany profil zawodzi u drugiej osoby błędem uwierzytelniania lub certyfikatu, a nie problemem z routingiem. Zajrzyj do pliku, jeśli musisz potwierdzić, co masz:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Liczba certyfikatów mówi, że tożsamość jest osadzona; wiersze remote wskazują tylko serwer. Dwa pliki wskazujące ten sam serwer mogą więc należeć do różnych osób, a jeden plik wskazujący dwa serwery nadal jest powiązany ze swoim pierwotnym właścicielem. Profile przypisane do serwera i profile z automatycznym logowaniem mają znowu inne dozwolone modele użycia: profil przypisany do serwera oczekuje poświadczeń w chwili połączenia, a profil z automatycznym logowaniem z założenia pomija monit o hasło. Żaden z nich nie staje się innym typem przez edycję pliku.

Kontrola 4: potwierdź, że polityka dopuszcza ten typ

To, jakie typy profili istnieją, jest ustawieniem administratora, a nie preferencją klienta. Jeśli portal oferuje tylko pobieranie przypisane do użytkownika, serwer może nie dopuszczać żadnego innego typu albo dopuszczać typ, którego grupa konta nie otrzymuje. Proszenie administratora o włączenie innego typu, aby pojawił się brakujący przycisk, jest zmianą polityki o realnych skutkach, a usuwanie uwierzytelniania wieloskładnikowego, by dotrzeć do strony pobierania, wymienia kontrolę uwierzytelniania na wygodę.

W zależności od wersji interfejs webowy administratora udostępnia też zarządzanie profilami użytkownika, gdzie administrator może wydać lub odebrać profil bez logowania się jako ta osoba. Tam, gdzie tej możliwości nie ma, użytkownik pobiera własny plik. W każdym razie właściwym źródłem jest zamierzone konto, nigdy skopiowany profil administratora traktowany jako szablon.

Kontrola 5: przekaż, a potem utrzymuj możliwość odebrania

Traktuj pobranie jak materiał poświadczeń, a nie jak plik konfiguracyjny. Profil przypisany do użytkownika zawiera klucz prywatny, więc powinien podróżować kanałem, którego użyłbyś do hasła, a nie przez wspólny folder dysku czy grupę czatu. Zapisuj, który użytkownik i które urządzenie otrzymały który plik, bo odebranie odbywa się na poziomie konta: gdy laptop zostanie wymieniony lub zgubiony, administrator odbiera dostęp tej osobie i wydaje nowy profil, a stary plik przestaje działać przy następnej próbie połączenia.

Zakończ czterema kontrolami w tej kolejności: logowanie do portalu było zamierzonym użytkownikiem, plik zawiera tożsamość, a nie tylko adres serwera, jedno połączenie testowe z zamierzonego klienta się udaje, a drugie połączenie z innego konta zawodzi. Jeśli czwarta się uda, rozprowadziłeś niewłaściwy plik, a następnym krokiem jest odebranie, a nie edycja konfiguracji. samouczek pobierania Access Server pokazuje obecny układ portalu i różnicę między profilem a wstępnie skonfigurowanym instalatorem.