Descărcarea profilului OpenVPN Access Server: contul corect

Un profil Access Server blocat pe utilizator este generat pentru un singur cont și refuză orice altul, așa că pasul de descărcare decide cui aparține fișierul înainte ca vreo setare a clientului să conteze. Ordinea de mai jos este cea pe care o dau oricui cere „fișierul VPN”: autentificați-vă ca persoana care îl va folosi, găsiți controlul pentru versiunea serverului, citiți la ce este blocat fișierul, confirmați că politica permite acel tip, apoi predați-l într-un mod în care îl puteți revoca încă. Opriți-vă la primul pas care eșuează; fiecare pas ulterior presupune că precedentul a rezistat.

Verificarea 1: autentificați-vă ca respectivul cont, nu ca administrator

Portalul clientului este interfața obișnuită de utilizator, de obicei la https://vpn.example:943/, în timp ce administrarea se află la https://vpn.example:943/admin. Acestea sunt exemple implicite; numele de gazdă, porturile și proxy-urile inverse le schimbă, așa că folosiți adresa dată de operator. Autentificarea mai întâi pe calea de administrare este greșeala cea mai frecventă, pentru că sesiunea de administrare poate crea și administra conturi, dar nu este contul care va purta tunelul.

Dacă persoana încă nu se poate autentifica, opriți-vă aici și remediați mai întâi asta: o resetare de parolă, o atribuire de grup lipsă sau un cont care există doar ca intrare de autentificare importată vor bloca descărcarea indiferent de browserul încercat. Descărcarea din sesiunea administratorului produce profilul administratorului, iar acesta este exact fișierul care nu trebuie să ajungă pe laptopul altcuiva.

Verificarea 2: găsiți controlul de descărcare pentru versiunea dumneavoastră

După autentificare, portalul afișează un control de profil de conectare în apropierea părții de sus a paginii. Pentru Access Server 2.14 și mai nou, tutorialul îl descrie ca secțiunea Profil de conectare sub „Descărcați-vă profilul mai jos”. Unde portalul oferă și un instalator OpenVPN Connect preconfigurat, sunt două predări diferite: unul instalează clientul cu profilul deja atașat, celălalt vă dă un fișier de importat într-un client pe care îl aveți deja.

Versiunea contează aici. Un portal mai vechi poate eticheta altfel același buton, iar un portal puternic personalizat îl poate muta sub un anunț. Dacă secțiunea lipsește complet, nu începeți să ghiciți URL-uri: treceți la verificarea politicii în loc să experimentați cu căi, pentru că un control lipsă este aproape întotdeauna o decizie din partea serverului.

Verificarea 3: citiți la ce este blocat fișierul

Un profil blocat pe utilizator conține un certificat de client și o cheie încorporate, emise pentru un singur utilizator, iar serverul mapează acea identitate la acel cont. Redenumirea fișierului, editarea numelui afișat sau tastarea altor acreditări la prompt nu schimbă maparea, de aceea un profil copiat eșuează la a doua persoană cu o eroare de autentificare sau de certificat, nu cu o problemă de rutare. Uitați-vă în fișier dacă trebuie să confirmați ce aveți:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Numărul de certificate vă spune că o identitate este încorporată; liniile remote numesc doar serverul. Prin urmare, două fișiere care indică același server pot aparține unor persoane diferite, iar un fișier care indică două servere rămâne legat de proprietarul său original. Profilurile blocate pe server și cele cu autentificare automată au din nou modele de utilizare permise diferite: un profil blocat pe server așteaptă acreditări la conectare, iar un profil cu autentificare automată sare peste promptul de parolă prin proiectare. Niciunul nu devine alt tip prin editarea fișierului.

Verificarea 4: confirmați că politica permite acel tip

Ce tipuri de profil există este o setare a administratorului, nu o preferință a clientului. Dacă portalul oferă doar descărcare blocată pe utilizator, serverul poate să nu permită niciun alt tip, sau poate permite unul pe care grupul contului nu îl primește. A cere administratorului să activeze alt tip ca să apară un buton lipsă este o schimbare de politică cu consecințe reale, iar eliminarea autentificării multifactor pentru a ajunge la o pagină de descărcare schimbă un control de autentificare pe confort.

În funcție de versiune, interfața web de administrare expune și gestionarea profilurilor pentru un utilizator, unde un administrator poate emite sau revoca un profil fără a se autentifica drept acea persoană. Unde această capacitate lipsește, utilizatorul își descarcă propriul fișier. În orice caz, sursa corectă este contul vizat, niciodată un profil de administrator copiat și tratat ca șablon.

Verificarea 5: predați-l, apoi păstrați-l revocabil

Tratați descărcarea ca material de acreditare, nu ca fișier de configurare. Un profil blocat pe utilizator conține o cheie privată, deci ar trebui să călătorească pe un canal pe care l-ați folosi pentru o parolă, nu printr-un folder de disc partajat sau un grup de chat. Notați ce utilizator și ce dispozitiv au primit ce fișier, pentru că revocarea este pe cont: când un laptop este înlocuit sau pierdut, administratorul revocă accesul acelei persoane și emite un profil nou, iar fișierul vechi încetează să funcționeze la următoarea încercare de conectare.

Încheiați cu patru verificări în această ordine: autentificarea în portal a fost utilizatorul vizat, fișierul conține o identitate și nu doar o adresă de server, o conexiune de test din clientul vizat reușește, iar o a doua conexiune cu alt cont eșuează. Dacă a patra reușește, ați distribuit fișierul greșit, iar pasul următor este revocarea, nu editarea configurației. tutorialul de descărcare Access Server arată aspectul actual al portalului și diferența dintre un profil și un instalator preconfigurat.