Pag-download ng profile ng OpenVPN Access Server: tamang account

Ang profile ng Access Server na naka-lock sa user ay ginagawa para sa isang account at tinatanggihan ang lahat ng iba, kaya ang hakbang ng pag-download ang nagtatakda kung kanino ang file bago maging mahalaga ang anumang setting ng kliyente. Ang pagkakasunod-sunod sa ibaba ang ibinibigay ko sa sinumang humihingi ng “file ng VPN”: mag-log in bilang taong gagamit nito, hanapin ang kontrol para sa bersyon ng iyong server, basahin kung ano ang naka-lock sa file, tiyakin na pinapayagan ng patakaran ang ganitong uri, at pagkatapos ay ibigay ito sa paraang mababawi mo pa rin. Huminto sa unang hakbang na nabigo; ipinapalagay ng bawat susunod na hakbang na nanatili ang nauna.

Pagsusuri 1: mag-log in bilang account, hindi bilang administrator

Ang portal ng kliyente ay ang karaniwang user interface, kadalasan sa https://vpn.example:943/, samantalang ang administrasyon ay nasa https://vpn.example:943/admin. Ito ay mga default na halimbawa; binabago ito ng mga hostname, port at reverse proxy, kaya gamitin ang address na ibinigay ng iyong operator. Ang pag-log in muna sa admin path ang pinakakaraniwang mali, dahil ang admin session ay makakagawa at makakapamahala ng account ngunit hindi ito ang account na magdadala ng tunnel.

Kung hindi pa makapag-log in ang tao, huminto rito at ayusin muna iyon: ang pag-reset ng password, nawawalang group assignment o account na umiiral lamang bilang imported na authentication entry ay hahadlang sa pag-download kahit anong browser ang subukan mo. Ang pag-download mula sa sariling session ng administrator ay gumagawa ng profile ng administrator, at iyon ang eksaktong file na hindi dapat mapunta sa laptop ng iba.

Pagsusuri 2: hanapin ang kontrol ng pag-download para sa iyong bersyon

Kapag naka-log in na, nagpapakita ang portal ng kontrol ng connection profile malapit sa itaas ng pahina. Para sa Access Server 2.14 at mas bago, inilalarawan ito ng tutorial bilang seksyong Connection Profile sa ilalim ng “I-download ang iyong profile sa ibaba”. Kung nag-aalok din ang portal ng preconfigured na OpenVPN Connect installer, dalawang magkaibang pagturn-over iyon: ang isa ay nag-i-install ng kliyente na may profile nang naka-attach, ang isa ay nagbibigay sa iyo ng file na ii-import sa kliyenteng mayroon ka na.

Mahalaga ang bersyon dito. Maaaring iba ang label ng mas lumang portal sa parehong button, at maaaring ilipat ito ng portal na maraming customization sa ilalim ng notice. Kung wala nang tuluyan ang seksyon, huwag magsimulang manghula ng URL: pumunta sa pagsusuri ng patakaran sa halip na mag-eksperimento sa mga path, dahil ang nawawalang kontrol ay halos palaging desisyon sa panig ng server.

Pagsusuri 3: basahin kung ano ang naka-lock sa file

Ang profile na naka-lock sa user ay may naka-embed na sertipiko at susi ng kliyente na inisyu para sa isang user, at ipina-map ng server ang pagkakakilanlang iyon sa account na iyon. Ang pagpalit ng pangalan ng file, pag-edit ng display name nito o pag-type ng ibang kredensyal sa prompt ay hindi nagbabago ng mapping, kaya nabigo ang kopyadong profile para sa pangalawang tao sa error ng authentication o sertipiko kaysa sa problema sa routing. Tingnan sa loob ng file kung kailangan mong tiyakin kung ano ang mayroon ka:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Sinasabi ng bilang ng sertipiko na may naka-embed na pagkakakilanlan; ang mga linyang remote ay pinangalanan lamang ang server. Kaya ang dalawang file na tumuturo sa parehong server ay maaaring pag-aari ng magkaibang tao, at isang file na tumuturo sa dalawang server ay nakatali pa rin sa orihinal nitong may-ari. Ang mga profile na naka-lock sa server at ang mga auto-login na profile ay may iba na namang pinapayagang modelo ng paggamit: ang profile na naka-lock sa server ay umaasa ng kredensyal sa oras ng pagkonekta, at ang auto-login na profile ay lumalaktaw sa password prompt ayon sa disenyo. Wala sa kanila ang nagiging ibang uri sa pamamagitan ng pag-edit ng file.

Pagsusuri 4: tiyakin na pinapayagan ng patakaran ang ganitong uri

Kung anong mga uri ng profile ang umiiral ay setting ng administrator, hindi kagustuhan ng kliyente. Kung ang portal ay nag-aalok lamang ng download na naka-lock sa user, maaaring hindi pinapayagan ng server ang ibang uri, o pinapayagan ang isang hindi natatanggap ng grupo ng account. Ang paghingi sa administrator na i-enable ang ibang uri upang lumitaw ang nawawalang button ay pagbabago ng patakaran na may totoong kahihinatnan, at ang pagtanggal ng multi-factor authentication upang makarating sa page ng download ay ipinagpapalit ang kontrol ng authentication sa kaginhawahan.

Depende sa bersyon, ang Admin Web UI ay naglalantad din ng pamamahala ng profile para sa isang user, kung saan ang administrator ay makakapag-isyu o makakabawi ng profile nang hindi nag-log in bilang taong iyon. Kung saan wala ang kakayahang iyon, ang user mismo ang nagda-download ng kanyang file. Sa alinmang paraan, ang tamang pinagmulan ay ang nilalayong account, hindi kailanman kopyadong administrator profile na itinuturing na template.

Pagsusuri 5: ibigay, pagkatapos ay panatilihing mababawi

Ituring ang pag-download bilang materyal ng kredensyal at hindi bilang configuration file. Ang profile na naka-lock sa user ay naglalaman ng private key, kaya dapat itong dumaan sa channel na gagamitin mo para sa password, hindi sa shared drive folder o chat group. Itala kung aling user at device ang tumanggap ng aling file, dahil per account ang pagbawi: kapag napalitan o nawala ang laptop, binabawi ng administrator ang access ng user na iyon at nag-isyu ng bagong profile, at ang lumang file ay tumitigil sa paggana sa susunod na pagtatangkang kumonekta.

Tapusin sa apat na pagsusuri sa ganitong pagkakasunod-sunod: ang pag-log in sa portal ay ang nilalayong user, ang file ay may pagkakakilanlan at hindi lamang address ng server, isang test connection mula sa nilalayong kliyente ang nagtagumpay, at ang ikalawang koneksyon gamit ang ibang account ay nabigo. Kung nagtagumpay ang ikaapat, mali ang naipamahagi mong file, at ang susunod na hakbang ay pagbawi at hindi pag-edit ng configuration. tutorial ng pag-download ng Access Server ay nagpapakita ng kasalukuyang layout ng portal at ang pagkakaiba ng profile at preconfigured na installer.