Verilen dosyalardan OpenVPN istemci profili nasıl oluşturulur

Operatörünüz size bir CA paketi, istemci sertifikası ve anahtarını verir; bunlar tek bir profilde birleştirilmeden istemci başlamaz. Profil bir yapılandırmadır: o dosyalara işaret eder, onları içermez ve düzenlemek onu sertifikaya dönüştüremez. Bu kılavuz önceden onaylanmış bir dizüstü bilgisayarda başlar ve bilinen bir dizinden başlatabileceğiniz bir profille biter. CA oluşturmaz, yeni sertifika kaydetmez ve sunucuya dokunmaz.

Buradaki hedef Linux için OpenVPN 2.6 komut satırı istemcisidir; UDP üzerinden TUN ile yönlendirilir ve sertifika doğrulaması kullanır.

Yalnızca istemci tarafındaki dosyaları toplayın

Korumalı bir dizinde çalışın ve onaylanmış CA güven malzemesini, size verilen istemci sertifikasını ve buna karşılık gelen özel anahtarı toplayın. Bu örnekte adlar ca.crt, laptop-a.crt ve laptop-a.key. Dosya adları yalnızca etikettir; her dosyanın ne içerdiği hakkında hiçbir şey söylemezler.

Anahtarı kayıt sırasında oluşturduysanız makineden hiç çıkmadı; veren taraftan yalnızca imzalı sertifika ve genel zincir geri gelmelidir. Sertifikanın hizmetin beklediği istemci rolünü taşıdığını denetleyin. Anahtarın o sertifikaya ait olduğunu, önceki bir denemenin eski sertifikasına ait olmadığını da denetleyin. Birbirine uymayan çift çok daha sonra TLS hatası üretir ve bu sunucu sorunu gibi görünür.

CA'nın özel imzalama anahtarını, sunucunun özel anahtarını ve DH parametrelerini bu paketin dışında bırakın.

Dosyaları küçük bir profilde birleştirin

Aşağıdaki profil bilerek kısadır. Her satır ya uç noktayı seçer, ya istemcinin kabul edeceği kimliği sınırlar, ya da üç dosyadan birine işaret eder.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote satırı ağ uç noktasını seçer. remote-cert-tls server karşı tarafın sunucu rolü taşıyan bir sertifika sunmasını şart koşar. verify-x509-name beklenen adı sabitler; burada vpn-gateway, OpenVPN'in varsayılan ad alanıyla sunucu sertifikasının Common Name değeri olarak. Bu değer DNS ana makine adından çıkarılmaz, bu yüzden operatörün verdiği kimlik şemasını kullanın.

Bir test uç noktası farklı sertifika gösteriyor diye bu denetimleri bırakmayın.

Bu temel profil ayrı bir hesap sorgusu ve denetim kanalı anahtarı olmadığını varsayar. Hizmet auth-user-pass, tls-auth veya tls-crypt gerektiriyorsa verilen yapılandırmayı ve malzemeyi koruyun, çünkü kendi oluşturduğunuz denetim kanalı sırrı sunucudakiyle eşleşmez. Eski bir örnekten sıkıştırma veya şifre satırları içe aktarmak yerine hizmetin şifreleme ilkesini de koruyun.

Çalışma dizinini açık hale getirin

Göreli yollar sürecin çalışma dizinini izler, .ovpn dosyasının konumunu değil.

Bu, profili yeni bir klasöre taşıyıp anahtarın da peşinden geleceğini bekleyenleri şaşırtır. Yöneticinin seçtiği bir dizin için aşağıdaki komut, profili ve başvurularını okumadan önce mutlak bir yola geçer.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Bir masaüstü içe aktarma sihirbazı veya sistem hizmeti bağımlılıkları sizin için paketleyebilir ve kendi kurallarını uygulayabilir. Test ettiğinizden farklı bir çalışma dizini de kullanabilir. Başlatma yönteminizin anahtar, sertifika ve CA yollarını nasıl çözdüğünü doğrulayın. Yalnızca .ovpn dosyasını taşımak ayrı özel anahtarı taşımaz.

Anahtarı yalnızca amaçlanan kullanıcı veya hizmet kimliği için okunabilir tutun.

Dosya adlarını değil, devri doğrulayın

İlk yetkili bağlantıdan önce uç noktayı, sertifikanın kimliğini, vereni ve geçerlilik aralığını denetleyin. Ardından dosya başvurularının gerçekten kullanacağınız çalışma dizininden çözüldüğünü doğrulayın. Bağlandıktan sonra yönlendirme ilkesinin sağlaması gereken uygulama ve DNS davranışını sınayın. Üç okunabilir dosya, sunucu yetkilendirmesi veya kullanılabilir bir kaynak yolu hakkında hiçbir şey kanıtlamaz.

Bir parola ifadesi istemi görünürse bu özel anahtara aittir, VPN hesabına değil.

Son olarak paketi kimlik bilgisi malzemesi olarak envanterleyin. Aynı sertifikayı ve anahtarı ikinci bir dizüstü bilgisayara vermek kimliği kopyalar ve dosyayı yeniden adlandırmak size ikinci bir kayıt vermez. Profil oluşturmak ile onu vermek arasındaki fark budur.