Завантаження профілю OpenVPN Access Server: правильний обліковий запис

Профіль Access Server, прив'язаний до користувача, створюється для одного облікового запису й відхиляє всі інші, тому крок завантаження вирішує, кому належить файл, перш ніж будь-яке налаштування клієнта стане важливим. Порядок нижче — той, який я даю кожному, хто просить «файл VPN»: увійдіть як особа, яка буде ним користуватися, знайдіть елемент керування для своєї версії сервера, прочитайте, до чого прив'язано файл, переконайтеся, що політика дозволяє цей тип, і потім передайте його так, щоб ви все ще могли відкликати доступ. Зупиніться на першому кроці, який не вдався; кожен наступний крок припускає, що попередній виконано.

Перевірка 1: увійдіть як обліковий запис, а не як адміністратор

Клієнтський портал — це звичайний інтерфейс користувача, зазвичай за адресою https://vpn.example:943/, а адміністрування — за адресою https://vpn.example:943/admin. Це приклади за замовчуванням; імена хостів, порти й зворотні проксі їх змінюють, тому використовуйте адресу, яку дав ваш оператор. Вхід спершу адміністративним шляхом — найпоширеніша помилка, бо сеанс адміністратора може створювати облікові записи й керувати ними, але це не той запис, який нестиме тунель.

Якщо особа ще не може увійти, зупиніться тут і спершу виправте це: скидання пароля, відсутнє призначення групи або обліковий запис, що існує лише як імпортований запис автентифікації, заблокують завантаження в будь-якому браузері. Завантаження з власного сеансу адміністратора дає профіль адміністратора, і це саме той файл, який не повинен опинитися на чужому ноутбуці.

Перевірка 2: знайдіть елемент завантаження для вашої версії

Після входу портал показує елемент керування профілем з'єднання у верхній частині сторінки. Для Access Server 2.14 і новіших посібник описує його як розділ «Профіль з'єднання» під написом «Завантажте свій профіль нижче». Якщо портал також пропонує попередньо налаштований інсталятор OpenVPN Connect, це два різні передавання: одне встановлює клієнт із уже долученим профілем, інше дає файл для імпорту в наявний клієнт.

Версія тут важлива. Старіший портал може назвати ту саму кнопку інакше, а сильно налаштований портал може перемістити її під повідомлення. Якщо розділу немає зовсім, не починайте вгадувати URL: перейдіть до перевірки політики замість експериментів зі шляхами, бо відсутній елемент керування майже завжди є рішенням на боці сервера.

Перевірка 3: прочитайте, до чого прив'язано файл

Профіль, прив'язаний до користувача, містить вбудований клієнтський сертифікат і ключ, видані одному користувачеві, і сервер зіставляє цю особу з тим обліковим записом. Перейменування файлу, редагування його показуваної назви або введення інших облікових даних у запиті не змінюють зіставлення, тому скопійований профіль у другої особи дає помилку автентифікації або сертифіката, а не проблему маршрутизації. Загляньте у файл, якщо потрібно підтвердити, що ви маєте:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Кількість сертифікатів каже, що особу вбудовано; рядки remote називають лише сервер. Тому два файли, що вказують на один сервер, можуть належати різним людям, а один файл, що вказує на два сервери, усе ще прив'язаний до свого початкового власника. Профілі, прив'язані до сервера, і профілі з автоматичним входом знову мають інші дозволені моделі використання: профіль, прив'язаний до сервера, очікує облікові дані під час підключення, а профіль з автоматичним входом за задумом пропускає запит пароля. Жоден із них не стає іншим типом через редагування файлу.

Перевірка 4: переконайтеся, що політика дозволяє цей тип

Які типи профілів існують — це налаштування адміністратора, а не вподобання клієнта. Якщо портал пропонує лише завантаження, прив'язане до користувача, сервер може не дозволяти інший тип або дозволяти той, якого група облікового запису не отримує. Просити адміністратора ввімкнути інший тип, щоб з'явилася відсутня кнопка, — це зміна політики з реальними наслідками, а видалення багатофакторної автентифікації заради доступу до сторінки завантаження міняє контроль автентифікації на зручність.

Залежно від версії, веб-інтерфейс адміністратора також надає керування профілями для користувача, де адміністратор може видати або відкликати профіль, не входячи як ця особа. Там, де цієї можливості немає, користувач завантажує власний файл. У будь-якому разі правильне джерело — цільовий обліковий запис, а ніколи не скопійований профіль адміністратора, який використовують як шаблон.

Перевірка 5: передайте файл, а потім зберігайте можливість його відкликати

Ставтеся до завантаження як до матеріалу облікових даних, а не як до файлу конфігурації. Профіль, прив'язаний до користувача, містить закритий ключ, тому він має передаватися каналом, який ви використали б для пароля, а не через спільну папку на диску чи групу чату. Записуйте, який користувач і який пристрій отримали який файл, бо відкликання виконується за обліковим записом: коли ноутбук замінюють або втрачають, адміністратор відкликає доступ цієї особи й видає новий профіль, а старий файл перестає працювати за наступної спроби підключення.

Завершіть чотирма перевірками в цьому порядку: вхід на портал виконав потрібний користувач, файл містить особу, а не лише адресу сервера, одне тестове підключення з потрібного клієнта вдається, а друге підключення з іншим обліковим записом не вдається. Якщо четверта вдається, ви поширили неправильний файл, і наступний крок — відкликання, а не редагування конфігурації. посібник із завантаження Access Server показує поточне компонування порталу й різницю між профілем і попередньо налаштованим інсталятором.