Преузимање профила OpenVPN Access Server: прави рачун

Профил Access Server-а закључан на корисника прави се за један рачун и одбија сваки други, па корак преузимања одлучује коме датотека припада пре него што било које подешавање клијента постане важно. Редослед испод је онај који дајем свакоме ко тражи „VPN датотеку“: пријавите се као особа која ће је користити, пронађите контролу за своју верзију сервера, прочитајте на шта је датотека закључана, потврдите да политика дозвољава тај тип, а затим је предајте на начин на који још увек можете да је опозовете. Зауставите се на првом кораку који не успе; сваки следећи корак претпоставља да је претходни важио.

Провера 1: пријавите се као рачун, не као администратор

Клијентски портал је уобичајени кориснички интерфејс, обично на https://vpn.example:943/, док се администрација налази на https://vpn.example:943/admin. Ово су подразумевани примери; имена хостова, портови и обрнути посредници их мењају, зато користите адресу коју вам је дао оператер. Пријављивање најпре на администраторску путању најчешћа је грешка, јер администраторска сесија може да прави и управља рачунима, али није рачун који ће носити тунел.

Ако особа још не може да се пријави, зауставите се овде и прво то поправите: ресетовање лозинке, недостајуће додељивање групе или рачун који постоји само као увезени запис аутентификације блокираће преузимање без обзира који прегледач покушате. Преузимање из сопствене сесије администратора даје профил администратора, а то је управо датотека која не сме да заврши на туђем преносном рачунару.

Провера 2: пронађите контролу за преузимање за своју верзију

Након пријаве, портал приказује контролу профила везе при врху странице. За Access Server 2.14 и новије, упутство је описује као одељак Профил везе под „Преузмите свој профил испод“. Када портал нуди и унапред конфигурисан инсталатер OpenVPN Connect-а, то су два различита преноса: један инсталира клијента са већ приложеним профилом, други вам даје датотеку за увоз у клијента који већ имате.

Верзија је овде важна. Старији портал може другачије да означи исто дугме, а јако прилагођен портал може да га помери испод обавештења. Ако одељак потпуно недостаје, не почињите да погађате URL адресе: пређите на проверу политике уместо да експериментишете са путањама, јер контрола која недостаје готово је увек одлука на страни сервера.

Провера 3: прочитајте на шта је датотека закључана

Профил закључан на корисника носи уграђени клијентски сертификат и кључ издате за једног корисника, и сервер тај идентитет повезује са тим рачуном. Преименовање датотеке, уређивање приказаног имена или уношење других акредитива на позиву не мења повезивање, због чега копирани профил код друге особе не успева са грешком аутентификације или сертификата, а не са проблемом рутирања. Погледајте унутар датотеке ако треба да потврдите шта имате:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Број сертификата вам каже да је идентитет уграђен; линије remote именују само сервер. Зато две датотеке које показују на исти сервер могу припадати различитим људима, а једна датотека која показује на два сервера и даље је везана за свог првобитног власника. Профили закључани на сервер и профили са аутоматском пријавом имају поново другачије дозвољене моделе употребе: профил закључан на сервер очекује акредитиве приликом повезивања, а профил са аутоматском пријавом по дизајну прескаче захтев за лозинку. Ниједан од њих не постаје други тип уређивањем датотеке.

Провера 4: потврдите да политика дозвољава тај тип

Који типови профила постоје је подешавање администратора, а не преференција клијента. Ако портал нуди само преузимање закључано на корисника, сервер можда не дозвољава ниједан други тип или дозвољава онај који група рачуна не добија. Захтев администратору да омогући други тип како би се појавило дугме које недостаје је промена политике са стварним последицама, а уклањање вишефакторске аутентификације да би се стигло до странице за преузимање замењује контролу аутентификације за удобност.

У зависности од верзије, административни веб интерфејс такође излаже управљање профилима за корисника, где администратор може да изда или опозове профил без пријављивања као та особа. Где та могућност недостаје, корисник преузима сопствену датотеку. У сваком случају, исправан извор је предвиђени рачун, никада копирани администраторски профил третиран као шаблон.

Провера 5: предајте га, а затим га држите опозивим

Третирајте преузимање као материјал акредитива, а не као конфигурациону датотеку. Профил закључан на корисника садржи приватни кључ, па би требало да путује каналом који бисте користили за лозинку, а не кроз дељену фасциклу на диску или групу за разговор. Забележите који су корисник и који уређај добили коју датотеку, јер опозив се врши по рачуну: када се преносни рачунар замени или изгуби, администратор опозива приступ тог корисника и издаје нови профил, а стара датотека престаје да ради при следећем покушају повезивања.

Завршите са четири провере у овом редоследу: пријава на портал била је предвиђени корисник, датотека садржи идентитет, а не само адресу сервера, једна пробна веза са предвиђеног клијента успева, а друга веза са другим рачуном не успева. Ако четврта успе, дистрибуирали сте погрешну датотеку, а следећи корак је опозив, а не уређивање конфигурације. упутство за преузимање Access Server-а приказује тренутни распоред портала и разлику између профила и унапред конфигурисаног инсталатера.