Jinsi ya kukusanya wasifu wa mteja wa OpenVPN kutoka faili zilizotolewa

Mwendeshaji wako anakupa kifurushi cha CA, cheti cha mteja na ufunguo wake, na mteja hautaanza hadi viunganishwe katika wasifu mmoja. Wasifu ni usanidi: unaelekeza kwenye faili hizo, hazimo ndani yake, na kuuhariri hakuwezi kuubadilisha kuwa cheti. Mwongozo unaanza kwenye kompyuta ya mkononi iliyoidhinishwa tayari na kuishia na wasifu unaoweza kuanzisha kutoka saraka inayojulikana. Hautengenezi CA, hausajili cheti kipya na haugusi seva.

Lengo hapa ni mteja wa mstari wa amri wa OpenVPN 2.6 kwa Linux, anayepitishwa kwa TUN juu ya UDP, na uthibitishaji wa cheti.

Kusanya faili za upande wa mteja pekee

Fanya kazi katika saraka iliyolindwa na kukusanya nyenzo za uaminifu za CA zilizoidhinishwa, cheti cha mteja ulichotolewa na ufunguo wa faragha unaolingana nacho. Katika mfano huu majina ni ca.crt, laptop-a.crt na laptop-a.key. Majina ya faili ni lebo tu; hayasemi chochote kuhusu kilicho ndani ya kila faili.

Ikiwa ulitengeneza ufunguo wakati wa usajili, haukuondoka kwenye mashine kamwe; kutoka kwa mtoaji ni cheti kilichosainiwa na mnyororo wa umma pekee vinavyopaswa kurudi. Hakikisha cheti kinabeba jukumu la mteja linalotarajiwa na huduma. Hakikisha pia ufunguo ni wa cheti hicho na si wa cheti cha awali kutoka jaribio lililopita. Jozi isiyolingana huzalisha kushindwa kwa TLS baadaye sana, kunakoonekana kama tatizo la seva.

Acha ufunguo wa faragha wa kusaini wa CA, ufunguo wa faragha wa seva na vigezo vya DH nje ya kifurushi hiki.

Unganisha faili katika wasifu mdogo

Wasifu ulio hapa chini ni mfupi kwa makusudi. Kila mstari ama huchagua mwisho wa njia, huzuia utambulisho ambao mteja atakubali, au huelekeza kwenye moja ya faili tatu.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

Mstari wa remote huchagua mwisho wa mtandao. remote-cert-tls server inasisitiza kwamba upande mwingine uwasilishe cheti chenye jukumu la seva. verify-x509-name hufunga jina linalotarajiwa, hapa vpn-gateway kama Common Name ya cheti cha seva na sehemu ya jina chaguo-msingi ya OpenVPN. Thamani hiyo haitolewi kutoka jina la mwenyeji wa DNS, kwa hivyo tumia mpango wa utambulisho uliotolewa na mwendeshaji.

Usiondoe ukaguzi huo kwa sababu tu mwisho wa majaribio unaonyesha cheti tofauti.

Wasifu huu wa msingi unadhani hakuna changamoto tofauti ya akaunti na hakuna ufunguo wa kituo cha udhibiti. Ikiwa huduma inahitaji auth-user-pass, tls-auth au tls-crypt, hifadhi usanidi na nyenzo ulizopewa, kwa sababu siri ya kituo cha udhibiti unayotengeneza mwenyewe haitalingana na ile iliyo kwa seva. Hifadhi pia sera ya usimbaji fiche ya huduma badala ya kuagiza mistari ya ukandamizaji au usimbaji kutoka mfano wa zamani.

Fanya saraka ya kazi iwe wazi

Njia zilizo na uhusiano hufuata saraka ya kazi ya mchakato, si mahali pa faili ya .ovpn.

Hilo huwashangaza watu wanaohamisha wasifu kwenda folda mpya na kutarajia ufunguo ufuate. Kwa saraka iliyochaguliwa na msimamizi, amri iliyo hapa chini hubadilika kwenda njia kamili kabla ya kusoma wasifu na marejeleo yake.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Mchawi wa uagizaji wa eneo-kazi au huduma ya mfumo anaweza kukufungia vitegemezi na kutumia kanuni zake mwenyewe. Anaweza pia kutumia saraka ya kazi tofauti na ile uliyojaribu. Thibitisha jinsi mbinu yako ya kuanzisha inavyotatua njia za ufunguo, cheti na CA. Kuhamisha faili ya .ovpn pekee hakuna kuhamisha ufunguo wa faragha tofauti.

Weka ufunguo ukisomeka kwa mtumiaji au utambulisho wa huduma uliokusudiwa pekee.

Thibitisha uwasilishaji, si majina ya faili

Kabla ya muunganisho wa kwanza ulioidhinishwa, angalia mwisho wa njia, utambulisho wa cheti, mtoaji na kipindi cha uhalali. Kisha thibitisha kwamba marejeleo ya faili yanatatuliwa kutoka saraka ya kazi utakayotumia kweli. Baada ya kuunganisha, jaribu tabia ya programu na DNS ambayo sera ya uelekezaji inapaswa kutoa. Faili tatu zinazosomika hazithibitishi chochote kuhusu idhini ya seva au njia ya rasilimali inayoweza kutumika.

Ikiwa kidokezo cha maneno ya siri kinaonekana, ni cha ufunguo wa faragha, si cha akaunti ya VPN.

Hatimaye, orodhesha kifurushi kama nyenzo za kitambulisho. Kutoa cheti kilekile na ufunguo uleule kwa kompyuta ya pili kunanakili utambulisho, na kubadilisha jina la faili hakukupi usajili wa pili. Huo ndio tofauti kati ya kukusanya wasifu na kuutoa.