Ladda ner OpenVPN Access Server-profil: rätt konto

En användarlåst Access Server-profil skapas för ett konto och avvisar alla andra, så nedladdningssteget avgör vem filen tillhör innan någon klientinställning spelar roll. Ordningen nedan är den jag ger alla som ber om ”VPN-filen”: logga in som personen som ska använda den, hitta kontrollen för din serverversion, läs vad filen är låst till, bekräfta att policyn tillåter den typen och överlämna den sedan på ett sätt där du fortfarande kan återkalla den. Stanna vid det första steg som misslyckas; varje senare steg förutsätter att det föregående höll.

Kontroll 1: logga in som kontot, inte som administratören

Klientportalen är det vanliga användargränssnittet, vanligtvis på https://vpn.example:943/, medan administrationen ligger på https://vpn.example:943/admin. Det här är standardexempel; värdnamn, portar och omvända proxyservrar ändrar dem, så använd adressen som din operatör gav dig. Att logga in på adminvägen först är det vanligaste felet, eftersom adminsessionen kan skapa och hantera konton men inte är kontot som ska bära tunneln.

Om personen ännu inte kan logga in, stanna här och åtgärda det först: en återställning av lösenordet, en saknad grupptilldelning eller ett konto som bara finns som en importerad autentiseringspost blockerar nedladdningen vilken webbläsare du än provar. Att ladda ner från administratörens egen session ger administratörens profil, och det är just den filen som inte ska hamna på någon annans laptop.

Kontroll 2: hitta nedladdningskontrollen för din version

När du är inloggad visar portalen en anslutningsprofilskontroll nära sidans överkant. För Access Server 2.14 och nyare beskriver guiden den som avsnittet Anslutningsprofil under ”Ladda ner din profil nedan”. Där portalen också erbjuder en förkonfigurerad OpenVPN Connect-installation är det två olika överlämningar: den ena installerar klienten med profilen redan bifogad, den andra ger dig en fil att importera i en klient du redan har.

Versionen spelar roll här. En äldre portal kan märka samma knapp annorlunda, och en starkt anpassad portal kan flytta den under ett meddelande. Om avsnittet saknas helt, börja inte gissa på URL:er: gå till policykontrollen i stället för att experimentera med sökvägar, eftersom en saknad kontroll nästan alltid är ett beslut på serversidan.

Kontroll 3: läs vad filen är låst till

En användarlåst profil bär ett inbäddat klientcertifikat och en nyckel som utfärdats till en användare, och servern mappar den identiteten till det kontot. Att byta namn på filen, redigera visningsnamnet eller skriva andra inloggningsuppgifter vid prompten ändrar inte mappningen, och därför misslyckas en kopierad profil för den andra personen med ett autentiserings- eller certifikatfel i stället för ett routingproblem. Titta in i filen om du behöver bekräfta vad du har:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Antalet certifikat säger att en identitet är inbäddad; raderna remote namnger bara servern. Två filer som pekar på samma server kan därför tillhöra olika personer, och en fil som pekar på två servrar är fortfarande bunden till sin ursprungliga ägare. Serverlåsta profiler och profiler med automatisk inloggning har återigen andra tillåtna användningsmodeller: en serverlåst profil förväntar sig inloggningsuppgifter vid anslutning, och en profil med automatisk inloggning hoppar över lösenordsprompten enligt design. Ingen av dem blir en annan typ genom att filen redigeras.

Kontroll 4: bekräfta att policyn tillåter den typen

Vilka profiltyper som finns är en administratörsinställning, inte en klientpreferens. Om portalen bara erbjuder en användarlåst nedladdning tillåter servern kanske ingen annan typ, eller tillåter en som kontots grupp inte får. Att be administratören aktivera en annan typ så att en saknad knapp dyker upp är en policyändring med verkliga konsekvenser, och att ta bort flerfaktorsautentisering för att nå en nedladdningssida byter en autentiseringskontroll mot bekvämlighet.

Beroende på version visar Admin Web UI också profiladministration för en användare, där en administratör kan utfärda eller återkalla en profil utan att logga in som den personen. Där den möjligheten saknas laddar användaren ner sin egen fil. Hur som helst är rätt källa det avsedda kontot, aldrig en kopierad administratörsprofil som behandlas som mall.

Kontroll 5: lämna över och håll den därefter återkallelig

Behandla nedladdningen som autentiseringsmaterial och inte som en konfigurationsfil. En användarlåst profil innehåller en privat nyckel, så den bör färdas över en kanal du skulle använda för ett lösenord, inte via en delad enhetsmapp eller en chattgrupp. Anteckna vilken användare och enhet som fick vilken fil, eftersom återkallande sker per konto: när en laptop byts ut eller tappas bort återkallar administratören den personens åtkomst och utfärdar en ny profil, och den gamla filen slutar fungera vid nästa anslutningsförsök.

Avsluta med fyra kontroller i den här ordningen: portalinloggningen var den avsedda användaren, filen innehåller en identitet och inte bara en serveradress, en testanslutning från den avsedda klienten lyckas, och en andra anslutning med ett annat konto misslyckas. Om den fjärde lyckas har du distribuerat fel fil, och återkallande är nästa steg i stället för en konfigurationsändring. guiden för nedladdning av Access Server visar portalens nuvarande layout och skillnaden mellan en profil och en förkonfigurerad installationsfil.