ดาวน์โหลดโปรไฟล์ OpenVPN Access Server: บัญชีที่ถูกต้อง

โปรไฟล์ Access Server แบบล็อกกับผู้ใช้ถูกสร้างขึ้นสำหรับบัญชีเดียวและปฏิเสธทุกบัญชีอื่น ดังนั้นขั้นตอนดาวน์โหลดจึงเป็นตัวกำหนดว่าไฟล์เป็นของใครก่อนที่การตั้งค่าไคลเอนต์ใด ๆ จะมีความหมาย ลำดับด้านล่างคือลำดับที่ผมให้กับทุกคนที่ขอ “ไฟล์ VPN”: ลงชื่อเข้าใช้ในฐานะบุคคลที่จะใช้งาน ค้นหาตัวควบคุมสำหรับเวอร์ชันเซิร์ฟเวอร์ของคุณ อ่านว่าไฟล์ถูกล็อกไว้กับอะไร ยืนยันว่านโยบายอนุญาตชนิดนั้น แล้วส่งมอบในลักษณะที่คุณยังเพิกถอนได้ หยุดที่ขั้นตอนแรกที่ล้มเหลว เพราะทุกขั้นตอนถัดไปถือว่าขั้นก่อนหน้าผ่านแล้ว

การตรวจสอบ 1: ลงชื่อเข้าใช้ในฐานะบัญชี ไม่ใช่ในฐานะผู้ดูแลระบบ

พอร์ทัลไคลเอนต์คืออินเทอร์เฟซผู้ใช้ทั่วไป มักอยู่ที่ https://vpn.example:943/ ขณะที่ส่วนผู้ดูแลระบบอยู่ที่ https://vpn.example:943/admin นี่เป็นตัวอย่างค่าเริ่มต้น ชื่อโฮสต์ พอร์ต และพร็อกซีย้อนกลับทำให้ค่าเหล่านี้เปลี่ยนไป จึงควรใช้ที่อยู่ที่ผู้ปฏิบัติงานของคุณให้มา การลงชื่อเข้าใช้เส้นทางผู้ดูแลระบบก่อนเป็นความผิดพลาดที่พบบ่อยที่สุด เพราะเซสชันผู้ดูแลระบบสร้างและจัดการบัญชีได้ แต่ไม่ใช่บัญชีที่จะแบกอุโมงค์

ถ้าบุคคลนั้นยังลงชื่อเข้าใช้ไม่ได้ ให้หยุดตรงนี้และแก้ไขเรื่องนั้นก่อน: การรีเซ็ตรหัสผ่าน การกำหนดกลุ่มที่ขาดหาย หรือบัญชีที่มีอยู่เพียงในฐานะรายการรับรองความถูกต้องที่นำเข้า จะขัดขวางการดาวน์โหลดไม่ว่าคุณจะลองเบราว์เซอร์ใด การดาวน์โหลดจากเซสชันของผู้ดูแลระบบเองจะได้โปรไฟล์ของผู้ดูแลระบบ และนั่นคือไฟล์ที่ต้องไม่ไปอยู่ในแล็ปท็อปของคนอื่น

การตรวจสอบ 2: ค้นหาตัวควบคุมการดาวน์โหลดสำหรับเวอร์ชันของคุณ

เมื่อลงชื่อเข้าใช้แล้ว พอร์ทัลจะแสดงตัวควบคุมโปรไฟล์การเชื่อมต่อใกล้ส่วนบนของหน้า สำหรับ Access Server 2.14 ขึ้นไป บทช่วยสอนอธิบายว่าเป็นส่วนโปรไฟล์การเชื่อมต่อภายใต้ “ดาวน์โหลดโปรไฟล์ของคุณด้านล่าง” หากพอร์ทัลยังมีตัวติดตั้ง OpenVPN Connect ที่กำหนดค่าไว้ล่วงหน้า นั่นคือการส่งมอบสองแบบที่ต่างกัน แบบหนึ่งติดตั้งไคลเอนต์พร้อมโปรไฟล์ที่แนบมาอยู่แล้ว อีกแบบให้ไฟล์คุณไปนำเข้าในไคลเอนต์ที่คุณมีอยู่

เวอร์ชันสำคัญตรงนี้ พอร์ทัลรุ่นเก่าอาจติดป้ายปุ่มเดียวกันต่างออกไป และพอร์ทัลที่ปรับแต่งหนัก ๆ อาจย้ายปุ่มไปไว้ใต้ประกาศ หากไม่มีส่วนนั้นเลย อย่าเริ่มเดา URL ให้ไปที่การตรวจสอบนโยบายแทนการทดลองกับพาธ เพราะตัวควบคุมที่หายไปเกือบทุกครั้งเป็นการตัดสินใจฝั่งเซิร์ฟเวอร์

การตรวจสอบ 3: อ่านว่าไฟล์ถูกล็อกไว้กับอะไร

โปรไฟล์แบบล็อกกับผู้ใช้มีใบรับรองไคลเอนต์และคีย์ที่ฝังอยู่ซึ่งออกให้ผู้ใช้คนเดียว และเซิร์ฟเวอร์แมปตัวตนนั้นเข้ากับบัญชีนั้น การเปลี่ยนชื่อไฟล์ แก้ไขชื่อที่แสดง หรือพิมพ์ข้อมูลรับรองอื่นที่พรอมต์ไม่เปลี่ยนการแมป จึงเป็นเหตุผลว่าโปรไฟล์ที่คัดลอกมาจะล้มเหลวที่คนที่สองด้วยข้อผิดพลาดการรับรองความถูกต้องหรือใบรับรอง ไม่ใช่ปัญหาการกำหนดเส้นทาง ดูข้างในไฟล์หากคุณต้องยืนยันว่ามีอะไรอยู่:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

จำนวนใบรับรองบอกคุณว่ามีตัวตนฝังอยู่ ส่วนบรรทัด remote ระบุเฉพาะเซิร์ฟเวอร์ ดังนั้นไฟล์สองไฟล์ที่ชี้ไปยังเซิร์ฟเวอร์เดียวกันจึงอาจเป็นของคนละคนได้ และ ไฟล์เดียวที่ชี้ไปยังสองเซิร์ฟเวอร์ ก็ยังผูกกับเจ้าของเดิม โปรไฟล์แบบล็อกกับเซิร์ฟเวอร์และโปรไฟล์แบบเข้าสู่ระบบอัตโนมัติมีรูปแบบการใช้งานที่อนุญาตต่างออกไปอีก โปรไฟล์แบบล็อกกับเซิร์ฟเวอร์คาดหวังข้อมูลรับรองตอนเชื่อมต่อ และโปรไฟล์แบบเข้าสู่ระบบอัตโนมัติข้ามพรอมต์รหัสผ่านตามการออกแบบ ไม่มีแบบใดกลายเป็นอีกชนิดหนึ่งได้ด้วยการแก้ไขไฟล์

การตรวจสอบ 4: ยืนยันว่านโยบายอนุญาตชนิดนั้น

ชนิดของโปรไฟล์ที่มีอยู่เป็นการตั้งค่าของผู้ดูแลระบบ ไม่ใช่ความชอบของไคลเอนต์ หากพอร์ทัลเสนอเฉพาะการดาวน์โหลดแบบล็อกกับผู้ใช้ เซิร์ฟเวอร์อาจไม่อนุญาตชนิดอื่น หรืออาจอนุญาตชนิดที่กลุ่มของบัญชีไม่ได้รับ การขอให้ผู้ดูแลระบบเปิดชนิดอื่นเพื่อให้ปุ่มที่หายไปปรากฏเป็นการเปลี่ยนนโยบายที่มีผลจริง และการถอดการรับรองความถูกต้องหลายปัจจัยเพื่อไปให้ถึงหน้าดาวน์โหลดคือการแลกการควบคุมการรับรองความถูกต้องกับความสะดวก

โปรไฟล์แบบล็อกกับเซิร์ฟเวอร์และการจัดการโปรไฟล์ขึ้นกับเวอร์ชัน ในบางเวอร์ชันเว็บ UI ของผู้ดูแลระบบยังเปิดให้จัดการโปรไฟล์สำหรับผู้ใช้ โดยผู้ดูแลระบบออกหรือเพิกถอนโปรไฟล์ได้โดยไม่ต้องลงชื่อเข้าใช้ในฐานะบุคคลนั้น ในที่ที่ขาดความสามารถนี้ ผู้ใช้จะดาวน์โหลดไฟล์ของตนเอง ไม่ว่ากรณีใดแหล่งที่ถูกต้องคือบัญชีที่ตั้งใจไว้ ไม่ใช่โปรไฟล์ของผู้ดูแลระบบที่คัดลอกมาและใช้เป็นแม่แบบ

การตรวจสอบ 5: ส่งมอบ แล้วเก็บไว้ให้เพิกถอนได้

มองการดาวน์โหลดเป็นวัสดุรับรองความถูกต้อง ไม่ใช่ไฟล์กำหนดค่า โปรไฟล์แบบล็อกกับผู้ใช้มีคีย์ส่วนตัวอยู่ จึงควรเดินทางผ่านช่องทางที่คุณจะใช้ส่งรหัสผ่าน ไม่ใช่ผ่านโฟลเดอร์ไดรฟ์ที่แชร์หรือกลุ่มแชต บันทึกว่าผู้ใช้คนใดและอุปกรณ์ใดได้รับไฟล์ใด เพราะการเพิกถอนทำเป็นรายบัญชี เมื่อแล็ปท็อปถูกเปลี่ยนหรือหาย ผู้ดูแลระบบจะเพิกถอนการเข้าถึงของผู้ใช้คนนั้นและออกโปรไฟล์ใหม่ และไฟล์เก่าจะหยุดทำงานเมื่อพยายามเชื่อมต่อครั้งถัดไป

ปิดท้ายด้วยการตรวจสอบสี่ข้อตามลำดับนี้: การลงชื่อเข้าใช้พอร์ทัลเป็นผู้ใช้ที่ตั้งใจไว้ ไฟล์มีตัวตนไม่ใช่แค่ที่อยู่เซิร์ฟเวอร์ การเชื่อมต่อทดสอบหนึ่งครั้งจากไคลเอนต์ที่ตั้งใจไว้สำเร็จ และการเชื่อมต่อที่สองด้วยบัญชีอื่นล้มเหลว ถ้าข้อที่สี่สำเร็จ คุณแจกไฟล์ผิด และขั้นถัดไปคือการเพิกถอนไม่ใช่การแก้ไขการกำหนดค่า บทช่วยสอนการดาวน์โหลดของ Access Server แสดงเค้าโครงพอร์ทัลปัจจุบันและความแตกต่างระหว่างโปรไฟล์กับตัวติดตั้งที่กำหนดค่าไว้ล่วงหน้า