Prenos profila OpenVPN Access Server: pravi račun

Profil Access Serverja, vezan na uporabnika, se ustvari za en račun in zavrne vse druge, zato korak prenosa odloči, komu datoteka pripada, preden postane pomembna katera koli nastavitev odjemalca. Spodnji vrstni red je tisti, ki ga dam vsakomur, ki prosi za »datoteko VPN«: prijavite se kot oseba, ki jo bo uporabljala, poiščite kontrolnik za svojo različico strežnika, preberite, na kaj je datoteka vezana, potrdite, da pravilnik dovoljuje to vrsto, in jo nato predajte tako, da jo lahko še vedno prekličete. Ustavite se pri prvem koraku, ki spodleti; vsak naslednji korak predpostavlja, da je prejšnji veljal.

Preverjanje 1: prijavite se kot račun, ne kot skrbnik

Odjemalski portal je običajen uporabniški vmesnik, običajno na https://vpn.example:943/, medtem ko je upravljanje na https://vpn.example:943/admin. To so privzeti primeri; imena gostiteljev, vrata in obratni posredniki jih spreminjajo, zato uporabite naslov, ki vam ga je dal operater. Prijava najprej na skrbniško pot je najpogostejša napaka, ker seja skrbnika lahko ustvarja in upravlja račune, vendar ni račun, ki bo nosil tunel.

Če se oseba še ne more prijaviti, se ustavite tukaj in najprej to popravite: ponastavitev gesla, manjkajoča dodelitev skupine ali račun, ki obstaja le kot uvožen vnos preverjanja pristnosti, bodo blokirali prenos ne glede na brskalnik. Prenos iz skrbnikove lastne seje ustvari skrbnikov profil, in to je natanko tista datoteka, ki ne sme končati na tujem prenosniku.

Preverjanje 2: poiščite kontrolnik za prenos za svojo različico

Po prijavi portal prikaže kontrolnik profila povezave na vrhu strani. Za Access Server 2.14 in novejše ga vadnica opisuje kot razdelek Profil povezave pod »Prenesite svoj profil spodaj«. Kjer portal ponuja tudi vnaprej konfiguriran namestitveni program OpenVPN Connect, gre za dve različni predaji: eden namesti odjemalca z že priloženim profilom, drugi vam da datoteko za uvoz v odjemalca, ki ga že imate.

Različica je tu pomembna. Starejši portal lahko isto gumb označi drugače, močno prilagojen portal pa ga lahko premakne pod obvestilo. Če razdelek povsem manjka, ne začnite ugibati URL-jev: pojdite na preverjanje pravilnika, namesto da bi eksperimentirali s potmi, ker je manjkajoč kontrolnik skoraj vedno odločitev na strani strežnika.

Preverjanje 3: preberite, na kaj je datoteka vezana

Profil, vezan na uporabnika, nosi vgrajeno odjemalsko potrdilo in ključ, izdana za enega uporabnika, strežnik pa to identiteto preslika na ta račun. Preimenovanje datoteke, urejanje prikaznega imena ali vnos drugih poverilnic v pozivu ne spremeni preslikave, zato kopirani profil pri drugi osebi spodleti z napako preverjanja pristnosti ali potrdila, ne s težavo usmerjanja. Poglejte v datoteko, če morate potrditi, kaj imate:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Število potrdil vam pove, da je identiteta vgrajena; vrstice remote navajajo le strežnik. Dve datoteki, ki kažeta na isti strežnik, lahko zato pripadata različnim osebam, in ena datoteka, ki kaže na dva strežnika, je še vedno vezana na svojega prvotnega lastnika. Profili, vezani na strežnik, in profili z samodejno prijavo imajo spet drugačne dovoljene modele uporabe: profil, vezan na strežnik, pričakuje poverilnice ob povezavi, profil z samodejno prijavo pa po zasnovi preskoči poziv za geslo. Noben od njih ne postane druga vrsta z urejanjem datoteke.

Preverjanje 4: potrdite, da pravilnik dovoljuje to vrsto

Katere vrste profilov obstajajo, je nastavitev skrbnika, ne odjemalčeva želja. Če portal ponuja le prenos, vezan na uporabnika, strežnik morda ne dovoljuje nobene druge vrste ali dovoljuje tisto, ki je skupina računa ne prejme. Prositi skrbnika, naj omogoči drugo vrsto, da se pokaže manjkajoč gumb, je sprememba pravilnika z resničnimi posledicami, odstranitev večfaktorske avtentikacije za dostop do strani za prenos pa zamenja nadzor preverjanja pristnosti za udobje.

Odvisno od različice tudi skrbniški spletni vmesnik ponuja upravljanje profilov za uporabnika, kjer lahko skrbnik profil izda ali prekliče, ne da bi se prijavil kot ta oseba. Kjer te možnosti ni, uporabnik prenese svojo datoteko. V vsakem primeru je pravi vir predvideni račun, nikoli kopiran skrbniški profil, obravnavan kot predloga.

Preverjanje 5: predajte ga in ga nato ohranite preklicljivega

Prenos obravnavajte kot gradivo s poverilnicami, ne kot konfiguracijsko datoteko. Profil, vezan na uporabnika, vsebuje zasebni ključ, zato bi moral potovati po kanalu, ki bi ga uporabili za geslo, ne po deljeni mapi na disku ali klepetalni skupini. Zabeležite, kateri uporabnik in katera naprava sta prejela katero datoteko, ker preklic poteka po računu: ko prenosnik zamenjajo ali se izgubi, skrbnik prekliče dostop te osebe in izda nov profil, stara datoteka pa preneha delovati ob naslednjem poskusu povezave.

Končajte s štirimi preverjanji v tem vrstnem redu: prijava v portal je bila predvidena oseba, datoteka vsebuje identiteto in ne le naslova strežnika, ena preizkusna povezava s predvidenega odjemalca uspe, druga povezava z drugim računom pa spodleti. Če četrta uspe, ste razdelili napačno datoteko in naslednji korak je preklic, ne urejanje konfiguracije. vodnik za prenos Access Serverja prikazuje trenutno postavitev portala in razliko med profilom in vnaprej konfiguriranim namestitvenim programom.