Kako sastaviti klijentski profil OpenVPN-a od izdanih datoteka

ovpn datoteka je konfiguracija, ne certifikat. Sastavite jedan klijentski profil od izdane CA, certifikata i ključa, pa pričvrstite identitet i direktorij.

Vaš operater predaje vam CA paket, klijentski certifikat i njegov ključ, a klijent se neće podići dok se oni ne povežu u jedan profil. Profil je konfiguracija: pokazuje na te datoteke, ne sadrži ih, i uređivanjem se ne može pretvoriti u certifikat. Vodič počinje na već odobrenom prenosniku i završava profilom koji možete pokrenuti iz poznatog direktorija. On ne stvara CA, ne registrira novi certifikat i ne dira server.

Ovde je cilj OpenVPN 2.6 klijent naredbenog retka za Linux, usmeren TUN-om preko UDP-a, s autentifikacijom certifikatom.

Prikupite samo datoteke s klijentske strane

Radite u zaštićenom direktoriju i prikupite odobreni CA materijal poverenja, svoj izdati klijentski certifikat i privatni ključ koji mu odgovara. U ovom primeru nazivi su ca.crt, laptop-a.crt i laptop-a.key. Nazivi datoteka samo su oznake; ne govore ništa o tome što svaka datoteka sadrži.

Ako ste ključ generisali tokom upisa, nikada nije napustio računar; od izdavaoca se moraju vratiti samo potpisani certifikat i javni lanac. Proverite nosi li certifikat klijentsku ulogu koju usluga očekuje. Proverite i da ključ pripada tom certifikatu, a ne ranijem iz prethodnog pokušaja. Neusklađeni par proizvodi TLS grešku mnogo kasnije, koja izgleda kao problem servera.

Ostavite privatni ključ za potpisivanje CA, privatni ključ servera i DH parametre izvan ovog paketa.

Povežite datoteke u mali profil

Profil u nastavku namerno je kratak. Svaki red ili bira krajnju tačku, ili ograničava identitet koji će klijent prihvatiti, ili pokazuje na jednu od tri datoteke.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Red remote bira mrežnu krajnju tačku. remote-cert-tls server zahteva da druga strana predoči certifikat s ulogom servera. verify-x509-name pričvršćuje očekivani naziv, ovde vpn-gateway kao Common Name certifikata servera uz OpenVPN-ovo podrazumevano polje naziva. Ta vrednost se ne izvodi iz DNS imena hosta, zato koristite identitetsku šemu koju je operater dao.

Nemojte odbaciti te provere samo zato što testna krajnja tačka pokazuje drugačiji certifikat.

Ovaj osnovni profil pretpostavlja da nema zasebnog izazova računa ni ključa kontrolnog kanala. Ako su usluzi potrebni auth-user-pass, tls-auth ili tls-crypt, zadržite konfiguraciju i materijal koji ste dobili, jer tajna kontrolnog kanala koju sami generišete neće se podudarati s onom koju drži server. Zadržite i šifarsku politiku usluge umesto da uvozite redove za kompresiju ili šifru iz starog primera.

Učinite radni direktorij eksplicitnim

Relativne staze slede radni direktorij procesa, a ne lokaciju datoteke .ovpn.

To iznenađuje ljude koji premeste profil u novu fasciklu i očekuju da će ključ krenuti za njim. Za direktorij koji izabere administrator, komanda u nastavku prelazi na apsolutnu stazu pre čitanja profila i njegovih referenci.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Čarobnjak za uvoz na radnoj površini ili sistemska usluga mogu umesto vas zapakovati zavisnosti i primeniti sopstvena pravila. Mogu koristiti i drugačiji radni direktorij od onog u kojem ste testirali. Proverite kako vaš način pokretanja rešava staze ključa, certifikata i CA. Premeštanje samo datoteke .ovpn ne premešta zasebni privatni ključ.

Držite ključ čitljivim samo za predviđenog korisnika ili identitet usluge.

Proverite primopredaju, a ne nazive datoteka

Pre prvog autorizovanog povezivanja proverite krajnju tačku, identitet certifikata, izdavaoca i period važenja. Zatim potvrdite da se reference datoteka rešavaju iz radnog direktorija koji ćete stvarno koristiti. Nakon povezivanja testirajte ponašanje aplikacije i DNS-a koje bi politika usmeravanja trebalo da obezbedi. Tri čitljive datoteke ne dokazuju ništa o autorizaciji servera ni o upotrebljivoj stazi do resursa.

Ako se pojavi upit za pristupnu frazu, ona pripada privatnom ključu, a ne VPN nalogu.

Na kraju, popišite paket kao materijal za akreditaciju. Predaja istog certifikata i ključa drugom prenosniku kopira identitet, a preimenovanje datoteke ne daje vam drugi upis. To je razlika između sastavljanja profila i njegovog izdavanja.

Povezani članci