Ako zostaviť klientsky profil OpenVPN z vydaných súborov

Súbor ovpn je konfigurácia, nie certifikát. Zostavte jeden klientsky profil z vydanej CA, certifikátu a kľúča a potom ukotvite identitu a adresár.

Váš operátor vám odovzdá balík CA, klientsky certifikát a jeho kľúč, a klient sa nespustí, kým nie sú spojené do jedného profilu. Profil je konfigurácia: ukazuje na tie súbory, neobsahuje ich a úpravou z neho certifikát neurobíte. Postup začína na už schválenom notebooku a končí profilom, ktorý môžete spustiť zo známeho adresára. Nevytvára CA, nezapisuje nový certifikát a nedotýka sa servera.

Cieľom je tu klient príkazového riadka OpenVPN 2.6 pre Linux, smerovaný cez TUN po UDP, s autentizáciou certifikátom.

Zhromaždite iba súbory na strane klienta

Pracujte v chránenom adresári a zhromaždite schválený dôveryhodný materiál CA, vydaný klientsky certifikát a súkromný kľúč, ktorý k nemu patrí. V tomto príklade sú názvy ca.crt, laptop-a.crt a laptop-a.key. Názvy súborov sú len štítky; nič nehovoria o tom, čo ktorý súbor obsahuje.

Ak ste kľúč vygenerovali pri registrácii, nikdy neopustil počítač; od vydavateľa sa musí vrátiť len podpísaný certifikát a verejný reťazec. Overte, či certifikát nesie klientsku rolu, ktorú služba očakáva. Overte aj to, či kľúč patrí k tomuto certifikátu a nie k staršiemu z predchádzajúceho pokusu. Nezlučiteľný pár spôsobí zlyhanie TLS oveľa neskôr a to vyzerá ako problém servera.

Ponechajte súkromný podpisový kľúč CA, súkromný kľúč servera a parametre DH mimo tohto balíka.

Spojte súbory do malého profilu

Profil nižšie je zámerne krátky. Každý riadok buď vyberá koncový bod, alebo obmedzuje identitu, ktorú klient prijme, alebo ukazuje na jeden z troch súborov.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Riadok remote vyberá sieťový koncový bod. remote-cert-tls server trvá na tom, aby protistrana predložila certifikát so serverovou rolou. verify-x509-name ukotví očakávaný názov, tu vpn-gateway ako Common Name certifikátu servera s predvoleným poľom názvu OpenVPN. Táto hodnota sa neodvodzuje z DNS názvu hostiteľa, preto použite schému identity, ktorú dodal operátor.

Nevzdávajte sa týchto kontrol len preto, že testovací koncový bod zobrazuje iný certifikát.

Tento základný profil predpokladá žiadnu samostatnú výzvu účtu a žiadny kľúč riadiaceho kanála. Ak služba potrebuje auth-user-pass, tls-auth alebo tls-crypt, ponechajte konfiguráciu a materiál, ktorý ste dostali, pretože tajomstvo riadiaceho kanála, ktoré si vygenerujete sami, nebude zodpovedať tomu, ktoré má server. Ponechajte aj šifrovaciu politiku služby, namiesto toho, aby ste importovali riadky kompresie alebo šifry zo starého príkladu.

Urobte pracovný adresár explicitným

Relatívne cesty sledujú pracovný adresár procesu, nie umiestnenie súboru .ovpn.

To prekvapí ľudí, ktorí profil presunú do nového priečinka a očakávajú, že kľúč pôjde s ním. Pre adresár zvolený administrátorom príkaz nižšie prejde na absolútnu cestu pred načítaním profilu a jeho odkazov.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Sprievodca importom v prostredí pracovnej plochy alebo systémová služba môžu závislosti zabaliť za vás a uplatniť vlastné pravidlá. Môžu tiež použiť iný pracovný adresár, než v ktorom ste testovali. Potvrďte, ako váš spôsob spúšťania rieši cesty ku kľúču, certifikátu a CA. Presunutie iba súboru .ovpn nepresunie samostatný súkromný kľúč.

Uchovávajte kľúč čitateľný len pre zamýšľaného používateľa alebo identitu služby.

Overte odovzdanie, nie názvy súborov

Pred prvým autorizovaným pripojením skontrolujte koncový bod, identitu certifikátu, vydavateľa a dobu platnosti. Potom potvrďte, že odkazy na súbory sa vyriešia z pracovného adresára, ktorý skutočne použijete. Po pripojení otestujte správanie aplikácie a DNS, ktoré má zabezpečiť smerovacia politika. Tri čitateľné súbory nič nedokazujú o autorizácii servera ani o použiteľnej ceste k zdroju.

Ak sa objaví výzva na prístupovú frázu, patrí súkromnému kľúču, nie účtu VPN.

Nakoniec vykonajte inventúru balíka ako materiálu prihlasovacích údajov. Odovzdanie toho istého certifikátu a kľúča druhému notebooku kopíruje identitu a premenovanie súboru vám nedá druhú registráciu. To je rozdiel medzi zostavením profilu a jeho vydaním.

Súvisiace články