Preuzimanje profila OpenVPN Access Server: pravi račun

Profil Access Servera zaključan na korisnika stvara se za jedan račun i odbija svaki drugi, pa korak preuzimanja odlučuje kome datoteka pripada prije nego što ijedna postavka klijenta postane važna. Redoslijed u nastavku onaj je koji dajem svakome tko traži „VPN datoteku“: prijavite se kao osoba koja će ju koristiti, pronađite kontrolu za svoju verziju poslužitelja, pročitajte na što je datoteka zaključana, potvrdite da politika dopušta taj tip, a zatim ju predajte na način na koji ju još uvijek možete opozvati. Zaustavite se na prvom koraku koji ne uspije; svaki sljedeći korak pretpostavlja da je prethodni vrijedio.

Provjera 1: prijavite se kao račun, ne kao administrator

Klijentski portal uobičajeno je korisničko sučelje, obično na https://vpn.example:943/, dok administracija stoji na https://vpn.example:943/admin. To su zadani primjeri; imena hostova, portovi i obrnuti proxyji mijenjaju ih, pa koristite adresu koju vam je dao operater. Prijava najprije na administratorsku stazu najčešći je pogrešan korak, jer administratorska sesija može stvarati i upravljati računima, ali nije račun koji će nositi tunel.

Ako se osoba još ne može prijaviti, zaustavite se ovdje i prvo to popravite: ponovno postavljanje lozinke, nedostajuća dodjela grupe ili račun koji postoji samo kao uvezeni unos autentifikacije blokirat će preuzimanje bez obzira koji preglednik pokušate. Preuzimanje iz administratorove vlastite sesije daje administratorov profil, a to je upravo datoteka koja ne smije završiti na tuđem prijenosnom računalu.

Provjera 2: pronađite kontrolu za preuzimanje za svoju verziju

Nakon prijave portal prikazuje kontrolu profila veze pri vrhu stranice. Za Access Server 2.14 i novije, tutorijal ju opisuje kao odjeljak Profil veze pod „Preuzmite svoj profil u nastavku“. Kada portal nudi i unaprijed konfiguriran instalater OpenVPN Connecta, to su dva različita prijenosa: jedan instalira klijenta s već priloženim profilom, drugi vam daje datoteku za uvoz u klijenta koji već imate.

Verzija je ovdje važna. Stariji portal može isti gumb označiti drukčije, a jako prilagođen portal može ga pomaknuti ispod obavijesti. Ako odjeljak posve nedostaje, ne počinjite nagađati URL-ove: prijeđite na provjeru politike umjesto eksperimentiranja sa stazama, jer kontrola koja nedostaje gotovo je uvijek odluka na strani poslužitelja.

Provjera 3: pročitajte na što je datoteka zaključana

Profil zaključan na korisnika nosi ugrađeni klijentski certifikat i ključ izdan za jednog korisnika, a poslužitelj tu identitetu preslikava na taj račun. Preimenovanje datoteke, uređivanje njezina prikazanog imena ili upisivanje drukčijih vjerodajnica na upitu ne mijenja preslikavanje, zbog čega kopirani profil kod druge osobe pada s greškom autentifikacije ili certifikata, a ne s problemom usmjeravanja. Pogledajte unutar datoteke ako trebate potvrditi što imate:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Broj certifikata govori vam da je identitet ugrađen; linije remote imenuju samo poslužitelj. Zato dvije datoteke koje pokazuju na isti poslužitelj mogu pripadati različitim ljudima, a jedna datoteka koja pokazuje na dva poslužitelja i dalje je vezana uz svog prvotnog vlasnika. Profili zaključani na poslužitelj i profili s automatskom prijavom imaju opet drukčije dopuštene modele upotrebe: profil zaključan na poslužitelj očekuje vjerodajnice u trenutku povezivanja, a profil s automatskom prijavom po dizajnu preskače upit za lozinku. Nijedan od njih ne postaje drugi tip uređivanjem datoteke.

Provjera 4: potvrdite da politika dopušta taj tip

Koji tipovi profila postoje administratorska je postavka, a ne klijentska sklonost. Ako portal nudi samo preuzimanje zaključano na korisnika, poslužitelj možda ne dopušta nijedan drugi tip ili dopušta onaj koji grupa računa ne prima. Traženje od administratora da omogući drukčiji tip kako bi se pojavio gumb koji nedostaje promjena je politike sa stvarnim posljedicama, a uklanjanje višefaktorske autentifikacije da bi se došlo do stranice za preuzimanje mijenja kontrolu autentifikacije za udobnost.

Ovisno o verziji, administratorsko web sučelje također izlaže upravljanje profilima za korisnika, gdje administrator može izdati ili opozvati profil bez prijave kao ta osoba. Gdje ta mogućnost nedostaje, korisnik preuzima vlastitu datoteku. U svakom slučaju, ispravan izvor je predviđeni račun, nikada kopirani administratorski profil tretiran kao predložak.

Provjera 5: predajte datoteku, a zatim je držite opozivom

Tretirajte preuzimanje kao materijal vjerodajnica, a ne kao konfiguracijsku datoteku. Profil zaključan na korisnika sadrži privatni ključ, pa bi trebao putovati kanalom koji biste koristili za lozinku, a ne kroz dijeljenu mapu na disku ili chat grupu. Zabilježite koji su korisnik i uređaj dobili koju datoteku, jer opoziv je po računu: kada se prijenosno računalo zamijeni ili izgubi, administrator opoziva pristup tog korisnika i izdaje novi profil, a stara datoteka prestaje raditi pri sljedećem pokušaju povezivanja.

Završite s četiri provjere u ovom redu: prijava na portal bila je predviđeni korisnik, datoteka sadrži identitet, a ne samo adresu poslužitelja, jedna testna veza s predviđenog klijenta uspijeva, a druga veza s drugim računom ne uspijeva. Ako četvrta uspije, podijelili ste pogrešnu datoteku, a opoziv je sljedeći korak, a ne uređivanje konfiguracije. Tutorijal za preuzimanje Access Servera prikazuje trenutni izgled portala i razliku između profila i unaprijed konfiguriranog instalatera.