Stiahnutie profilu OpenVPN Access Server: správny účet

Profil Access Serveru uzamknutý na používateľa sa vytvára pre jeden účet a každý iný odmieta, takže krok stiahnutia rozhoduje o tom, komu súbor patrí, skôr než začne záležať na akomkoľvek nastavení klienta. Poradie nižšie je to, ktoré dávam každému, kto žiada „súbor VPN“: prihláste sa ako osoba, ktorá ho bude používať, nájdite ovládanie pre svoju verziu servera, prečítajte si, na čo je súbor uzamknutý, overte, že politika tento typ povoľuje, a potom ho odovzdajte spôsobom, ktorým ho ešte môžete odvolať. Zastavte sa pri prvom kroku, ktorý zlyhá; každý ďalší krok predpokladá, že predchádzajúci obstál.

Kontrola 1: prihláste sa ako účet, nie ako správca

Klientsky portál je bežné používateľské rozhranie, zvyčajne na https://vpn.example:943/, zatiaľ čo správa sídli na https://vpn.example:943/admin. To sú predvolené príklady; názvy hostiteľov, porty a reverzné proxy ich menia, preto použite adresu, ktorú vám dal operátor. Prihlásenie najprv na cestu správcu je najčastejšia chyba, pretože relácia správcu môže vytvárať a spravovať účty, ale nie je to účet, ktorý ponesie tunel.

Ak sa osoba ešte nevie prihlásiť, zastavte sa tu a najprv to opravte: obnovenie hesla, chýbajúce priradenie do skupiny alebo účet, ktorý existuje len ako importovaná položka overovania, zablokujú stiahnutie bez ohľadu na to, ktorý prehliadač skúsite. Stiahnutie z vlastnej relácie správcu vytvorí profil správcu, a to je presne ten súbor, ktorý nesmie skončiť na cudzom notebooku.

Kontrola 2: nájdite ovládanie stiahnutia pre svoju verziu

Po prihlásení portál zobrazí ovládanie profilu pripojenia v hornej časti stránky. Pre Access Server 2.14 a novší ho výukový text opisuje ako sekciu Profil pripojenia pod „Stiahnite si svoj profil nižšie“. Keď portál ponúka aj predkonfigurovaný inštalačný program OpenVPN Connect, ide o dve rôzne odovzdania: jedno nainštaluje klienta s už pripojeným profilom, druhé vám dá súbor na import do klienta, ktorý už máte.

Verzia tu hrá rolu. Starší portál môže to isté tlačidlo označiť inak a silne prispôsobený portál ho môže presunúť pod oznámenie. Ak sekcia úplne chýba, nezačínajte hádať URL: prejdite na kontrolu politiky namiesto experimentovania s cestami, pretože chýbajúce ovládanie je takmer vždy rozhodnutie na strane servera.

Kontrola 3: prečítajte si, na čo je súbor uzamknutý

Profil uzamknutý na používateľa nesie vložený klientsky certifikát a kľúč vydané jednému používateľovi a server túto identitu mapuje na daný účet. Premenovanie súboru, úprava zobrazovaného názvu alebo zadanie iných prihlasovacích údajov vo výzve mapovanie nezmenia, a preto kopírovaný profil u druhej osoby zlyhá s chybou overovania alebo certifikátu, nie s problémom smerovania. Pozrite sa do súboru, ak potrebujete potvrdiť, čo máte:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Počet certifikátov vám hovorí, že je vložená identita; riadky remote pomenúvajú len server. Dva súbory smerujúce na ten istý server teda môžu patriť rôznym ľuďom a jeden súbor, ktorý smeruje na dva servery, je stále viazaný na svojho pôvodného vlastníka. Profily uzamknuté na server a profily s automatickým prihlásením majú zase iné povolené modely používania: profil uzamknutý na server očakáva prihlasovacie údaje pri pripájaní a profil s automatickým prihlásením výzvu na heslo zámerne preskakuje. Žiadny z nich sa úpravou súboru nestane iným typom.

Kontrola 4: overte, že politika tento typ povoľuje

Ktoré typy profilov existujú, je nastavenie správcu, nie predvoľba klienta. Ak portál ponúka len stiahnutie uzamknuté na používateľa, server nemusí povoľovať žiadny iný typ, alebo môže povoľovať typ, ktorý skupina účtu nedostáva. Žiadať správcu o povolenie iného typu, aby sa objavilo chýbajúce tlačidlo, je zmena politiky so skutočnými dôsledkami a odstránenie viacfaktorového overovania kvôli prístupu na stránku stiahnutia vymieňa overovaciu kontrolu za pohodlie.

V závislosti od verzie správcovské webové rozhranie ponúka aj správu profilov pre používateľa, kde správca môže profil vydať alebo odvolať bez toho, aby sa prihlásil ako daná osoba. Kde táto možnosť chýba, používateľ si stiahne svoj vlastný súbor. V každom prípade je správnym zdrojom zamýšľaný účet, nikdy kopírovaný profil správcu použitý ako šablóna.

Kontrola 5: odovzdajte ho a potom ho udržujte odvolateľný

Berte stiahnutie ako materiál prihlasovacích údajov, nie ako konfiguračný súbor. Profil uzamknutý na používateľa obsahuje súkromný kľúč, preto by mal cestovať kanálom, ktorý by ste použili na heslo, nie cez zdieľaný priečinok disku alebo chatovú skupinu. Zaznamenajte, ktorý používateľ a ktoré zariadenie dostali ktorý súbor, pretože odvolanie je podľa účtu: keď sa notebook vymení alebo stratí, správca odvolá prístup daného používateľa a vydá nový profil a starý súbor prestane fungovať pri ďalšom pokuse o pripojenie.

Skončite štyrmi kontrolami v tomto poradí: prihlásenie do portálu bolo zamýšľaným používateľom, súbor obsahuje identitu, nielen adresu servera, jedno testovacie pripojenie zo zamýšľaného klienta uspeje a druhé pripojenie s iným účtom zlyhá. Ak štvrté uspeje, rozšírili ste nesprávny súbor a ďalším krokom je odvolanie, nie úprava konfigurácie. návod na stiahnutie Access Serveru ukazuje aktuálne rozloženie portálu a rozdiel medzi profilom a predkonfigurovaným inštalačným programom.