جاری کردہ فائلوں سے OpenVPN کلائنٹ پروفائل کیسے بنائیں

آپ کا آپریٹر ایک CA بنڈل، کلائنٹ سرٹیفکیٹ اور اس کی کلید دیتا ہے، اور جب تک یہ ایک پروفائل میں نہ جڑیں کلائنٹ شروع نہیں ہوگا۔ پروفائل کنفیگریشن ہے: یہ ان فائلوں کی طرف اشارہ کرتا ہے، انہیں اپنے اندر نہیں رکھتا، اور اسے ترمیم کرنے سے سرٹیفکیٹ نہیں بنایا جا سکتا۔ یہ رہنما پہلے سے منظور شدہ لیپ ٹاپ سے شروع ہو کر ایسے پروفائل پر ختم ہوتا ہے جسے آپ کسی معروف ڈائریکٹری سے شروع کر سکتے ہیں۔ یہ CA نہیں بناتا، نیا سرٹیفکیٹ رجسٹر نہیں کرتا اور سرور کو نہیں چھوتا۔

یہاں ہدف Linux کے لیے OpenVPN 2.6 کمانڈ لائن کلائنٹ ہے، جو UDP پر TUN کے ذریعے روٹ کیا گیا ہے، سرٹیفکیٹ کی تصدیق کے ساتھ۔

صرف کلائنٹ کی طرف کی فائلیں جمع کریں

کسی محفوظ ڈائریکٹری میں کام کریں اور منظور شدہ CA اعتماد کا مواد، آپ کو جاری کردہ کلائنٹ سرٹیفکیٹ اور اس سے مطابقت رکھنے والی نجی کلید جمع کریں۔ اس مثال میں نام ca.crt، laptop-a.crt اور laptop-a.key ہیں۔ فائل کے نام صرف لیبل ہیں؛ وہ یہ نہیں بتاتے کہ ہر فائل میں کیا ہے۔

اگر آپ نے اندراج کے دوران کلید بنائی تھی تو وہ کبھی مشین سے باہر نہیں گئی؛ جاری کرنے والے سے صرف دستخط شدہ سرٹیفکیٹ اور عوامی زنجیر واپس آنی چاہیے۔ جانچیں کہ سرٹیفکیٹ میں وہ کلائنٹ کردار ہے جس کی خدمت توقع کرتی ہے۔ یہ بھی جانچیں کہ کلید اسی سرٹیفکیٹ کی ہے، پچھلی کوشش کے پرانے سرٹیفکیٹ کی نہیں۔ غیر مطابق جوڑا بہت بعد میں TLS ناکامی پیدا کرتا ہے، جو سرور کی خرابی جیسا لگتا ہے۔

CA کی نجی دستخطی کلید، سرور کی نجی کلید اور DH پیرامیٹر اس بنڈل سے باہر رکھیں۔

فائلوں کو ایک چھوٹے پروفائل میں جوڑیں

نیچے دیا گیا پروفائل جان بوجھ کر مختصر ہے۔ ہر سطر یا اینڈ پوائنٹ منتخب کرتی ہے، یا اس شناخت کو محدود کرتی ہے جو کلائنٹ قبول کرے گا، یا تین فائلوں میں سے ایک کی طرف اشارہ کرتی ہے۔

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote سطر نیٹ ورک اینڈ پوائنٹ منتخب کرتی ہے۔ remote-cert-tls server اصرار کرتا ہے کہ سامنے والا فریق سرور کردار والا سرٹیفکیٹ پیش کرے۔ verify-x509-name متوقع نام کو پن کرتا ہے، یہاں vpn-gateway سرور سرٹیفکیٹ کے Common Name کے طور پر OpenVPN کے طے شدہ نام فیلڈ کے ساتھ۔ یہ قدر DNS ہوسٹ نام سے اخذ نہیں کی جاتی، لہٰذا آپریٹر کی دی ہوئی شناخت اسکیم استعمال کریں۔

صرف اس لیے ان جانچوں کو نہ چھوڑیں کہ کوئی آزمائشی اینڈ پوائنٹ مختلف سرٹیفکیٹ دکھاتا ہے۔

یہ بنیادی پروفائل فرض کرتا ہے کہ کوئی الگ اکاؤنٹ چیلنج اور کوئی کنٹرول چینل کلید نہیں ہے۔ اگر خدمت کو auth-user-pass، tls-auth یا tls-crypt درکار ہو تو دی گئی کنفیگریشن اور مواد رکھیں، کیونکہ آپ کی خود بنائی ہوئی کنٹرول چینل خفیہ چیز سرور والی سے مطابقت نہیں رکھے گی۔ پرانی مثال سے کمپریشن یا سائفر لکیریں درآمد کرنے کے بجائے خدمت کی سائفر پالیسی بھی رکھیں۔

کام کی ڈائریکٹری واضح کریں

نسبتی راستے عمل کی کام کی ڈائریکٹری کی پیروی کرتے ہیں، .ovpn فائل کے مقام کی نہیں۔

یہ ان لوگوں کو حیران کرتا ہے جو پروفائل کو نئی فولڈر میں منتقل کرتے ہیں اور توقع کرتے ہیں کہ کلید ساتھ جائے گی۔ منتظم کی منتخب کردہ ڈائریکٹری کے لیے، نیچے دیا گیا کمانڈ پروفائل اور اس کے حوالوں کو پڑھنے سے پہلے مطلق راستے پر جاتا ہے۔

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

ڈیسک ٹاپ درآمد وزرڈ یا سسٹم سروس آپ کی طرف سے انحصارات پیکج کر سکتی ہے اور اپنے قواعد لاگو کر سکتی ہے۔ یہ آپ کی آزمائش کردہ ڈائریکٹری سے مختلف کام کی ڈائریکٹری بھی استعمال کر سکتی ہے۔ تصدیق کریں کہ آپ کا لانچ طریقہ کلید، سرٹیفکیٹ اور CA کے راستے کیسے حل کرتا ہے۔ صرف .ovpn فائل منتقل کرنے سے الگ نجی کلید منتقل نہیں ہوتی۔

کلید کو صرف مطلوبہ صارف یا خدمت شناخت کے لیے پڑھنے کے قابل رکھیں۔

فائل کے نام نہیں، حوالگی کی تصدیق کریں

پہلے مجاز کنکشن سے پہلے اینڈ پوائنٹ، سرٹیفکیٹ کی شناخت، جاری کرنے والا اور اعتبار کی مدت جانچیں۔ پھر تصدیق کریں کہ فائل کے حوالے اسی کام کی ڈائریکٹری سے حل ہوتے ہیں جو آپ واقعی استعمال کریں گے۔ جڑنے کے بعد وہ ایپلیکیشن اور DNS رویہ آزمائیں جو روٹنگ پالیسی کو فراہم کرنا چاہیے۔ تین پڑھنے کے قابل فائلیں سرور کی اجازت یا قابل استعمال وسیلہ راستے کے بارے میں کچھ ثابت نہیں کرتیں۔

اگر پاس فریز کا مطالبہ ظاہر ہو تو وہ نجی کلید کا ہے، VPN اکاؤنٹ کا نہیں۔

آخر میں، بنڈل کو اسناد کے مواد کے طور پر فہرست کریں۔ وہی سرٹیفکیٹ اور کلید دوسرے لیپ ٹاپ کو دینا شناخت کی نقل کرتا ہے، اور فائل کا نام بدلنے سے دوسرا اندراج نہیں ملتا۔ پروفائل بنانے اور اسے جاری کرنے میں یہی فرق ہے۔