Загрузка профиля OpenVPN Access Server: нужная учётная запись

Профиль Access Server, привязанный к пользователю, создаётся для одной учётной записи и отклоняет любую другую, поэтому шаг загрузки решает, кому принадлежит файл, прежде чем какая-либо настройка клиента станет важной. Порядок ниже — тот, который я даю каждому, кто просит «файл VPN»: войдите как человек, который будет им пользоваться, найдите элемент управления для своей версии сервера, прочитайте, к чему привязан файл, убедитесь, что политика разрешает этот тип, и затем передайте его так, чтобы вы всё ещё могли отозвать доступ. Остановитесь на первом шаге, который не удался; каждый следующий шаг предполагает, что предыдущий выполнен.

Проверка 1: войдите как учётная запись, а не как администратор

Клиентский портал — это обычный пользовательский интерфейс, обычно по адресу https://vpn.example:943/, а администрирование находится по адресу https://vpn.example:943/admin. Это примеры по умолчанию; имена хостов, порты и обратные прокси меняют их, поэтому используйте адрес, который дал вам оператор. Вход сначала по административному пути — самая частая ошибка, потому что сеанс администратора может создавать учётные записи и управлять ими, но это не та запись, которая будет нести туннель.

Если человек ещё не может войти, остановитесь здесь и сначала исправьте это: сброс пароля, отсутствующее назначение группы или учётная запись, существующая только как импортированная запись аутентификации, заблокируют загрузку в любом браузере. Загрузка из собственного сеанса администратора даёт профиль администратора, и это именно тот файл, который не должен оказаться на чужом ноутбуке.

Проверка 2: найдите элемент загрузки для вашей версии

После входа портал показывает элемент управления профилем подключения в верхней части страницы. Для Access Server 2.14 и новее руководство описывает его как раздел «Профиль подключения» под надписью «Скачайте свой профиль ниже». Если портал также предлагает предварительно настроенный установщик OpenVPN Connect, это две разные передачи: один устанавливает клиент с уже прикреплённым профилем, другой даёт файл для импорта в уже имеющийся клиент.

Версия здесь важна. Старый портал может называть ту же кнопку иначе, а сильно настроенный портал может переместить её под уведомление. Если раздела нет совсем, не начинайте угадывать URL: перейдите к проверке политики вместо экспериментов с путями, потому что отсутствующий элемент управления почти всегда решение на стороне сервера.

Проверка 3: прочитайте, к чему привязан файл

Профиль, привязанный к пользователю, содержит встроенные клиентский сертификат и ключ, выданные одному пользователю, и сервер сопоставляет эту личность с этой учётной записью. Переименование файла, правка отображаемого имени или ввод других учётных данных в приглашении не меняют сопоставление, поэтому скопированный профиль у второго человека даёт ошибку аутентификации или сертификата, а не проблему маршрутизации. Загляните в файл, если нужно убедиться, что у вас есть:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Количество сертификатов говорит о том, что личность встроена; строки remote называют только сервер. Поэтому два файла, указывающие на один сервер, могут принадлежать разным людям, а один файл, указывающий на два сервера, всё равно привязан к своему первоначальному владельцу. Профили, привязанные к серверу, и профили с автоматическим входом снова имеют разные разрешённые модели использования: профиль, привязанный к серверу, ожидает учётные данные при подключении, а профиль с автоматическим входом по своей конструкции пропускает запрос пароля. Ни один из них не становится другим типом при редактировании файла.

Проверка 4: убедитесь, что политика разрешает этот тип

То, какие типы профилей существуют, — это настройка администратора, а не предпочтение клиента. Если портал предлагает только загрузку, привязанную к пользователю, сервер может не разрешать другой тип или разрешать тот, который группа учётной записи не получает. Просить администратора включить другой тип, чтобы появилась отсутствующая кнопка, — это изменение политики с реальными последствиями, а удаление многофакторной аутентификации ради доступа к странице загрузки меняет контроль аутентификации на удобство.

В зависимости от версии веб-интерфейс администратора также предоставляет управление профилями для пользователя, где администратор может выдать или отозвать профиль, не входя как этот человек. Там, где такая возможность отсутствует, пользователь скачивает свой собственный файл. В любом случае правильный источник — целевая учётная запись, а не скопированный профиль администратора, используемый как шаблон.

Проверка 5: передайте файл, а затем сохраняйте возможность его отозвать

Относитесь к загрузке как к материалу учётных данных, а не как к файлу конфигурации. Профиль, привязанный к пользователю, содержит закрытый ключ, поэтому он должен передаваться по каналу, который вы использовали бы для пароля, а не через общую папку на диске или группу чата. Записывайте, какой пользователь и какое устройство получили какой файл, потому что отзыв выполняется по учётной записи: когда ноутбук заменяют или теряют, администратор отзывает доступ этого пользователя и выдаёт новый профиль, а старый файл перестаёт работать при следующей попытке подключения.

Завершите четырьмя проверками в этом порядке: вход на портал был выполнен нужным пользователем, файл содержит личность, а не только адрес сервера, одно тестовое подключение с нужного клиента удаётся, а второе подключение с другой учётной записью не удаётся. Если четвёртая удаётся, вы распространили неправильный файл, и следующий шаг — отзыв, а не правка конфигурации. руководство по загрузке Access Server показывает текущую компоновку портала и разницу между профилем и предварительно настроенным установщиком.