Berilgan fayllardan OpenVPN mijoz profili qanday yig‘iladi

Operatoringiz sizga CA to‘plamini, mijoz sertifikatini va uning kalitini beradi va bular bitta profilga ulanmaguncha mijoz ishga tushmaydi. Profil — konfiguratsiya: u o‘sha fayllarga ishora qiladi, ularni o‘zida saqlamaydi va uni tahrirlash bilan sertifikatga aylantirib bo‘lmaydi. Qo‘llanma avvaldan tasdiqlangan noutbukdan boshlanib, ma’lum katalogdan ishga tushirish mumkin bo‘lgan profil bilan tugaydi. U CA yaratmaydi, yangi sertifikat ro‘yxatdan o‘tkazmaydi va serverga tegmaydi.

Bu yerda maqsad — Linux uchun OpenVPN 2.6 buyruq satri mijozi, UDP ustidan TUN orqali yo‘naltirilgan, sertifikat bilan autentifikatsiya qilinadi.

Faqat mijoz tomonidagi fayllarni to‘plang

Himoyalangan katalogda ishlang va tasdiqlangan CA ishonch materialini, sizga berilgan mijoz sertifikatini hamda unga mos keladigan maxfiy kalitni to‘plang. Bu misolda nomlar ca.crt, laptop-a.crt va laptop-a.key. Fayl nomlari faqat yorliq; ular har bir faylda nima borligi haqida hech narsa aytmaydi.

Agar kalitni ro‘yxatdan o‘tish paytida yaratgan bo‘lsangiz, u hech qachon mashinadan chiqmagan; beruvchidan faqat imzolangan sertifikat va ochiq zanjir qaytishi kerak. Sertifikat xizmat kutgan mijoz rolini olib yurishini tekshiring. Kalit o‘sha sertifikatga tegishli ekanini, avvalgi urinishdagi eski sertifikatga emasligini ham tekshiring. Mos kelmaydigan juftlik ancha keyin TLS nosozligini keltirib chiqaradi va u server muammosiga o‘xshaydi.

CA ning maxfiy imzolash kaliti, serverning maxfiy kaliti va DH parametrlarini bu to‘plamdan tashqarida qoldiring.

Fayllarni kichik profilga ulang

Quyidagi profil ataylab qisqa. Har bir satr yo oxirgi nuqtani tanlaydi, yo mijoz qabul qiladigan shaxsni cheklaydi, yo uchta fayldan biriga ishora qiladi.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote satri tarmoq oxirgi nuqtasini tanlaydi. remote-cert-tls server qarshi tomon server rolidagi sertifikat taqdim etishini talab qiladi. verify-x509-name kutilgan nomni mahkamlaydi, bu yerda vpn-gateway server sertifikatining Common Name sifatida OpenVPN ning standart nom maydoni bilan. Bu qiymat DNS xost nomidan olinmaydi, shuning uchun operator bergan shaxs sxemasidan foydalaning.

Faqat sinov oxirgi nuqtasi boshqa sertifikat ko‘rsatgani uchun bu tekshiruvlardan voz kechmang.

Bu asosiy profil alohida hisob sinovi va boshqaruv kanali kaliti yo‘qligini nazarda tutadi. Agar xizmatga auth-user-pass, tls-auth yoki tls-crypt kerak bo‘lsa, berilgan konfiguratsiya va materialni saqlab qoling, chunki o‘zingiz yaratgan boshqaruv kanali siri serverdagi bilan mos kelmaydi. Eski misoldan siqish yoki shifr satrlarini import qilish o‘rniga xizmatning shifr siyosatini ham saqlang.

Ish katalogini aniq qiling

Nisbiy yo‘llar jarayonning ish katalogiga ergashadi, .ovpn fayli joylashuviga emas.

Bu profilni yangi jildga ko‘chirib, kalit ham birga ketadi deb kutganlarni hayratga soladi. Administrator tanlagan katalog uchun quyidagi buyruq profil va uning havolalarini o‘qishdan oldin mutlaq yo‘lga o‘tadi.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Ish stoli import ustasi yoki tizim xizmati bog‘liqliklarni siz uchun paketlashi mumkin va o‘z qoidalarini qo‘llaydi. U siz sinagan katalogdan boshqa ish katalogidan ham foydalanishi mumkin. Ishga tushirish usulingiz kalit, sertifikat va CA yo‘llarini qanday hal qilishini tasdiqlang. Faqat .ovpn faylini ko‘chirish alohida maxfiy kalitni ko‘chirmaydi.

Kalitni faqat mo‘ljallangan foydalanuvchi yoki xizmat shaxsi uchun o‘qiladigan qilib saqlang.

Fayl nomlarini emas, topshirishni tekshiring

Birinchi ruxsat etilgan ulanishdan oldin oxirgi nuqtani, sertifikat shaxsini, beruvchini va amal qilish oynasini tekshiring. So‘ngra fayl havolalari siz haqiqatda ishlatadigan ish katalogidan hal qilinishini tasdiqlang. Ulangandan so‘ng marshrutlash siyosati taqdim etishi kerak bo‘lgan ilova va DNS xatti-harakatini sinab ko‘ring. Uchta o‘qiladigan fayl server ruxsati yoki ishlatsa bo‘ladigan resurs yo‘li haqida hech narsani isbotlamaydi.

Agar parol iborasi so‘rovi paydo bo‘lsa, u maxfiy kalitga tegishli, VPN hisobiga emas.

Nihoyat, to‘plamni ishonch materiali sifatida inventarizatsiya qiling. Xuddi shu sertifikat va kalitni ikkinchi noutbukka berish shaxsni nusxalaydi va fayl nomini o‘zgartirish sizga ikkinchi ro‘yxatdan o‘tish bermaydi. Profil yig‘ish va uni berish o‘rtasidagi farq shunda.