Како саставити клијентски профил OpenVPN-а од издатих датотека

Ваш оператер вам предаје CA пакет, клијентски сертификат и његов кључ, а клијент се неће подићи док се они не повежу у један профил. Профил је конфигурација: показује на те датотеке, не садржи их, и уређивањем се не може претворити у сертификат. Упутство почиње на већ одобреном преносном рачунару и завршава профилом који можете покренути из познатог директоријума. Оно не ствара CA, не региструје нови сертификат и не дира сервер.

Овде је циљ OpenVPN 2.6 клијент командне линије за Linux, усмерен TUN-ом преко UDP-а, са аутентификацијом сертификатом.

Прикупите само датотеке с клијентске стране

Радите у заштићеном директоријуму и прикупите одобрени CA материјал поверења, свој издати клијентски сертификат и приватни кључ који му одговара. У овом примеру називи су ca.crt, laptop-a.crt и laptop-a.key. Називи датотека су само ознаке; не говоре ништа о томе шта свака датотека садржи.

Ако сте кључ генерисали током уписа, никада није напустио рачунар; од издаваоца се морају вратити само потписани сертификат и јавни ланац. Проверите носи ли сертификат клијентску улогу коју услуга очекује. Проверите и да кључ припада том сертификату, а не ранијем из претходног покушаја. Неусклађени пар производи TLS грешку много касније, која изгледа као проблем сервера.

Оставите приватни кључ за потписивање CA, приватни кључ сервера и DH параметре изван овог пакета.

Повежите датотеке у мали профил

Профил у наставку је намерно кратак. Сваки ред или бира крајњу тачку, или ограничава идентитет који ће клијент прихватити, или показује на једну од три датотеке.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Ред remote бира мрежну крајњу тачку. remote-cert-tls server захтева да друга страна представи сертификат са улогом сервера. verify-x509-name причвршћује очекивани назив, овде vpn-gateway као Common Name сертификата сервера уз OpenVPN-ово подразумевано поље назива. Та вредност се не изводи из DNS имена хоста, зато користите шему идентитета коју је оператер дао.

Немојте одбацити те провере само зато што тестна крајња тачка показује другачији сертификат.

Овај основни профил претпоставља да нема засебног изазова рачуна ни кључа контролног канала. Ако су услузи потребни auth-user-pass, tls-auth или tls-crypt, задржите конфигурацију и материјал који сте добили, јер тајна контролног канала коју сами генеришете неће се подударати с оном коју држи сервер. Задржите и шифарску политику услуге уместо да увозите редове за компресију или шифру из старог примера.

Учините радни директоријум експлицитним

Релативне стазе следе радни директоријум процеса, а не локацију датотеке .ovpn.

То изненађује људе који преместе профил у нову фасциклу и очекују да ће кључ кренути за њим. За директоријум који изабере администратор, команда у наставку прелази на апсолутну стазу пре читања профила и његових референци.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Чаробњак за увоз на радној површини или системска услуга могу уместо вас запаковати зависности и применити сопствена правила. Могу користити и другачији радни директоријум од оног у којем сте тестирали. Проверите како ваш начин покретања решава стазе кључа, сертификата и CA. Премештање само датотеке .ovpn не премешта засебни приватни кључ.

Држите кључ читљивим само за предвиђеног корисника или идентитет услуге.

Проверите примопредају, а не називе датотека

Пре првог ауторизованог повезивања проверите крајњу тачку, идентитет сертификата, издаваоца и период важења. Затим потврдите да се референце датотека решавају из радног директоријума који ћете стварно користити. Након повезивања тестирајте понашање апликације и DNS-а које би политика усмеравања требало да обезбеди. Три читљиве датотеке не доказују ништа о ауторизацији сервера ни о употребљивој стази до ресурса.

Ако се појави упит за приступну фразу, она припада приватном кључу, а не VPN налогу.

На крају, попишите пакет као материјал за акредитиве. Предаја истог сертификата и кључа другом преносном рачунару копира идентитет, а преименовање датотеке не даје вам други упис. То је разлика између састављања профила и његовог издавања.