Si të ndërtoni një profil klienti OpenVPN nga skedarët e lëshuar

Operatori juaj ju dorëzon një paketë CA, një certifikatë klienti dhe çelësin e saj, dhe klienti nuk niset derisa këto të lidhen në një profil të vetëm. Profili është konfigurim: tregon ata skedarë, nuk i përmban ata, dhe redaktimi nuk mund ta kthejë në certifikatë. Udhëzimi nis nga një laptop i miratuar më parë dhe përfundon me një profil që mund ta nisni nga një drejtori e njohur. Ai nuk krijon CA, nuk regjistron një certifikatë të re dhe nuk prek serverin.

Objektivi këtu është një klient rreshti komandash OpenVPN 2.6 për Linux, i drejtuar me TUN mbi UDP, me vërtetim me certifikatë.

Mblidhni vetëm skedarët e anës së klientit

Punoni në një drejtori të mbrojtur dhe mblidhni materialin e besimit CA të miratuar, certifikatën e klientit të lëshuar dhe çelësin privat që i përputhet. Në këtë shembull emrat janë ca.crt, laptop-a.crt dhe laptop-a.key. Emrat e skedarëve janë vetëm etiketa; nuk thonë asgjë për atë që përmban secili skedar.

Nëse çelësin e keni gjeneruar gjatë regjistrimit, ai nuk e ka lënë kurrë makinën; nga lëshuesi duhet të kthehen vetëm certifikata e nënshkruar dhe zinxhiri publik. Kontrolloni që certifikata mban rolin e klientit që pret shërbimi. Kontrolloni gjithashtu që çelësi i përket asaj certifikate dhe jo një certifikate më të vjetër nga një përpjekje e mëparshme. Një çift që nuk përputhet prodhon një dështim TLS shumë më vonë, që duket si problem i serverit.

Lini çelësin privat të nënshkrimit të CA, çelësin privat të serverit dhe parametrat DH jashtë këtij paketi.

Lidhni skedarët në një profil të vogël

Profili më poshtë është qëllimisht i shkurtër. Çdo rresht ose zgjedh pikën fundore, ose kufizon identitetin që klienti do të pranojë, ose tregon një nga tre skedarët.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Rreshti remote zgjedh pikën fundore të rrjetit. remote-cert-tls server kërkon që pala tjetër të paraqesë një certifikatë me rol serveri. verify-x509-name fikson emrin e pritur, këtu vpn-gateway si Common Name i certifikatës së serverit me fushën e emrit të paracaktuar të OpenVPN. Ai vlerë nuk nxirret nga emri i hostit DNS, prandaj përdorni skemën e identitetit që dha operatori.

Mos i hidhni ato kontrolle vetëm sepse një pikë fundore testimi tregon një certifikatë tjetër.

Ky profil bazë supozon se nuk ka sfidë të veçantë llogarie dhe as çelës të kanalit të kontrollit. Nëse shërbimi kërkon auth-user-pass, tls-auth ose tls-crypt, mbajini konfigurimin dhe materialin që ju dhanë, sepse një sekret i kanalit të kontrollit që gjeneroni vetë nuk do të përputhet me atë që mban serveri. Mbajini edhe politikën e enkriptimit të shërbimit në vend që të importoni rreshta kompresimi ose enkriptimi nga një shembull i vjetër.

Bëni drejtorinë e punës të qartë

Shtigjet relative ndjekin drejtorinë e punës të procesit, jo vendndodhjen e skedarit .ovpn.

Kjo i befasojnë ata që e zhvendosin profilin në një dosje të re dhe presin që çelësi ta ndjekë. Për një drejtori të zgjedhur nga administratori, komanda më poshtë kalon në një shteg absolut përpara se të lexojë profilin dhe referencat e tij.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Një magjistar importimi në desktop ose një shërbim sistemi mund t'i paketojë varësitë për ju dhe të zbatojë rregulla të vetat. Mund të përdorë edhe një drejtori pune të ndryshme nga ajo ku testuat. Konfirmoni se si metoda juaj e nisjes zgjidh shtigjet e çelësit, certifikatës dhe CA. Zhvendosja vetëm e skedarit .ovpn nuk zhvendos çelësin privat të veçantë.

Mbajeni çelësin të lexueshëm vetëm për përdoruesin ose identitetin e shërbimit të synuar.

Verifikoni dorëzimin, jo emrat e skedarëve

Përpara lidhjes së parë të autorizuar, kontrolloni pikën fundore, identitetin e certifikatës, lëshuesin dhe dritaren e vlefshmërisë. Pastaj konfirmoni që referencat e skedarëve zgjidhen nga drejtoria e punës që do të përdorni vërtet. Pas lidhjes, testoni sjelljen e aplikacionit dhe të DNS që politika e drejtimit duhet të ofrojë. Tre skedarë të lexueshëm nuk provojnë asgjë për autorizimin e serverit ose për një shteg burimi të përdorshëm.

Nëse shfaqet një kërkesë për frazë kalimi, ajo i përket çelësit privat, jo një llogarie VPN.

Së fundi, inventarizoni paketën si material kredencialesh. Dorëzimi i të njëjtës certifikatë dhe çelës një laptopi të dytë kopjon identitetin, dhe riemërtimi i skedarit nuk ju jep një regjistrim të dytë. Ky është ndryshimi midis ndërtimit të një profili dhe lëshimit të tij.