Kako sestaviti odjemalski profil OpenVPN iz izdanih datotek

Datoteka ovpn je konfiguracija, ne potrdilo. Sestavite en odjemalski profil iz izdane CA, potrdila in ključa, nato pritrdite identiteto in imenik.

Vaš upravljavec vam izroči paket CA, odjemalsko potrdilo in njegov ključ, odjemalec pa se ne zažene, dokler niso povezani v en profil. Profil je konfiguracija: kaže na te datoteke, ne vsebuje jih, in z urejanjem ga ni mogoče spremeniti v potrdilo. Vodnik se začne na že odobrenem prenosniku in konča s profilom, ki ga lahko zaženete iz znanega imenika. Ne ustvari CA, ne registrira novega potrdila in se ne dotakne strežnika.

Cilj tukaj je odjemalec ukazne vrstice OpenVPN 2.6 za Linux, usmerjen s TUN prek UDP, s preverjanjem pristnosti s potrdilom.

Zberite samo datoteke na odjemalski strani

Delajte v zaščitenem imeniku in zberite odobreno gradivo zaupanja CA, izdano odjemalsko potrdilo in zasebni ključ, ki se ujema z njim. V tem primeru so imena ca.crt, laptop-a.crt in laptop-a.key. Imena datotek so le oznake; ne povedo ničesar o tem, kaj vsebuje posamezna datoteka.

Če ste ključ ustvarili med registracijo, ta nikoli ni zapustil stroja; od izdajatelja se morata vrniti le podpisano potrdilo in javna veriga. Preverite, ali potrdilo nosi odjemalsko vlogo, ki jo storitev pričakuje. Preverite tudi, ali ključ pripada temu potrdilu in ne starejšemu iz prejšnjega poskusa. Neusklajen par povzroči napako TLS veliko pozneje, ki je videti kot težava strežnika.

Pustite zasebni podpisni ključ CA, zasebni ključ strežnika in parametre DH zunaj tega paketa.

Povežite datoteke v majhen profil

Spodnji profil je namenoma kratek. Vsaka vrstica bodisi izbere končno točko, bodisi omeji identiteto, ki jo bo odjemalec sprejel, bodisi kaže na eno od treh datotek.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Vrstica remote izbere omrežno končno točko. remote-cert-tls server zahteva, da nasprotna stran predloži potrdilo s strežniško vlogo. verify-x509-name pritrdi pričakovano ime, tukaj vpn-gateway kot Common Name strežnikovega potrdila s privzetim poljem imena OpenVPN. Ta vrednost ni izpeljana iz imena gostitelja DNS, zato uporabite shemo identitete, ki jo je podal upravljavec.

Teh preverjanj ne opustite samo zato, ker preskusna končna točka prikazuje drugo potrdilo.

Ta osnovni profil predpostavlja brez ločenega izziva računa in brez ključa krmilnega kanala. Če storitev potrebuje auth-user-pass, tls-auth ali tls-crypt, obdržite konfiguracijo in gradivo, ki ste ga dobili, ker skrivnost krmilnega kanala, ki jo ustvarite sami, ne bo ustrezala tisti, ki jo ima strežnik. Obdržite tudi šifrirno politiko storitve, namesto da bi uvozili vrstice za stiskanje ali šifro iz starega primera.

Naredite delovni imenik ekspliciten

Relativne poti sledijo delovnemu imeniku procesa, ne lokaciji datoteke .ovpn.

To preseneti ljudi, ki profil premaknejo v novo mapo in pričakujejo, da bo ključ sledil. Za imenik, ki ga izbere skrbnik, ukaz spodaj preklopi na absolutno pot pred branjem profila in njegovih sklicev.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Čarovnik za uvoz na namizju ali sistemska storitev lahko odvisnosti zapakira namesto vas in uporabi lastna pravila. Uporabi lahko tudi drugačen delovni imenik od tistega, v katerem ste preskušali. Potrdite, kako vaš način zagona razreši poti do ključa, potrdila in CA. Premikanje samo datoteke .ovpn ne premakne ločenega zasebnega ključa.

Imejte ključ berljiv samo za predvidenega uporabnika ali identiteto storitve.

Preverite izročitev, ne imen datotek

Pred prvo pooblaščeno povezavo preverite končno točko, identiteto potrdila, izdajatelja in obdobje veljavnosti. Nato potrdite, da se sklici na datoteke razrešijo iz delovnega imenika, ki ga boste dejansko uporabili. Po povezavi preskusite vedenje aplikacije in DNS, ki naj bi ga zagotovila politika usmerjanja. Tri berljive datoteke ne dokazujejo ničesar o pooblastilu strežnika ali o uporabni poti do vira.

Če se pojavi poziv za geselsko frazo, pripada zasebnemu ključu, ne računu VPN.

Na koncu popišite paket kot gradivo poverilnic. Izročitev istega potrdila in ključa drugemu prenosniku kopira identiteto, preimenovanje datoteke pa vam ne da druge registracije. To je razlika med sestavljanjem profila in njegovo izdajo.

Sorodni članki