Tải hồ sơ OpenVPN Access Server: đúng tài khoản

Hồ sơ Access Server khóa theo người dùng chỉ được tạo cho một tài khoản và từ chối mọi tài khoản khác, vì vậy bước tải xuống quyết định tệp thuộc về ai trước khi bất kỳ cài đặt ứng dụng khách nào có ý nghĩa. Thứ tự dưới đây là thứ tự tôi đưa cho bất kỳ ai hỏi xin “tệp VPN”: đăng nhập với tư cách người sẽ dùng nó, tìm nút điều khiển cho phiên bản máy chủ của bạn, đọc xem tệp bị khóa vào cái gì, xác nhận chính sách cho phép loại đó, rồi bàn giao theo cách mà bạn vẫn có thể thu hồi. Dừng ở bước đầu tiên thất bại; mỗi bước sau giả định bước trước đã đúng.

Kiểm tra 1: đăng nhập bằng tài khoản, không phải bằng quản trị viên

Cổng khách hàng là giao diện người dùng thông thường, thường ở https://vpn.example:943/, còn phần quản trị nằm ở https://vpn.example:943/admin. Đây là các ví dụ mặc định; tên máy chủ, cổng và proxy ngược sẽ thay đổi chúng, nên hãy dùng địa chỉ mà nhà vận hành đã cấp cho bạn. Đăng nhập vào đường dẫn quản trị trước là sai lầm phổ biến nhất, vì phiên quản trị có thể tạo và quản lý tài khoản nhưng không phải tài khoản sẽ mang đường hầm.

Nếu người đó vẫn chưa đăng nhập được, hãy dừng ở đây và sửa điều đó trước: đặt lại mật khẩu, thiếu gán nhóm hay tài khoản chỉ tồn tại dưới dạng mục xác thực được nhập vào sẽ chặn việc tải xuống dù bạn thử trình duyệt nào. Tải xuống từ chính phiên của quản trị viên sẽ tạo ra hồ sơ của quản trị viên, và đó chính là tệp không được nằm trên máy tính xách tay của người khác.

Kiểm tra 2: tìm nút tải xuống cho phiên bản của bạn

Sau khi đăng nhập, cổng hiển thị nút điều khiển hồ sơ kết nối gần đầu trang. Với Access Server 2.14 trở lên, hướng dẫn mô tả nó là mục Hồ sơ kết nối dưới “Tải hồ sơ của bạn bên dưới”. Khi cổng cũng cung cấp trình cài đặt OpenVPN Connect được cấu hình sẵn, đó là hai cách bàn giao khác nhau: một cách cài ứng dụng khách kèm hồ sơ đã gắn, cách kia đưa bạn một tệp để nhập vào ứng dụng khách bạn đã có.

Phiên bản quan trọng ở đây. Cổng cũ hơn có thể gắn nhãn khác cho cùng một nút, và cổng được tùy biến mạnh có thể chuyển nó xuống dưới một thông báo. Nếu mục đó hoàn toàn không có, đừng bắt đầu đoán URL: hãy chuyển sang bước kiểm tra chính sách thay vì thử nghiệm đường dẫn, vì thiếu nút điều khiển gần như luôn là quyết định phía máy chủ.

Kiểm tra 3: đọc xem tệp bị khóa vào cái gì

Hồ sơ khóa theo người dùng mang chứng chỉ ứng dụng khách và khóa được nhúng cấp cho một người dùng, và máy chủ ánh xạ danh tính đó vào tài khoản ấy. Đổi tên tệp, sửa tên hiển thị hay nhập thông tin đăng nhập khác tại dấu nhắc không làm thay đổi ánh xạ, nên hồ sơ sao chép sẽ thất bại ở người thứ hai bằng lỗi xác thực hoặc chứng chỉ chứ không phải lỗi định tuyến. Hãy xem bên trong tệp nếu cần xác nhận bạn đang có gì:

grep -c "BEGIN CERTIFICATE" office-user.ovpn
grep -n "^remote " office-user.ovpn

Số lượng chứng chỉ cho bạn biết có một danh tính được nhúng; các dòng remote chỉ nêu tên máy chủ. Vì vậy hai tệp cùng trỏ đến một máy chủ có thể thuộc về những người khác nhau, và một tệp trỏ đến hai máy chủ vẫn gắn với chủ sở hữu ban đầu của nó. Hồ sơ khóa theo máy chủ và hồ sơ đăng nhập tự động lại có mô hình sử dụng được phép khác: hồ sơ khóa theo máy chủ mong đợi thông tin đăng nhập khi kết nối, còn hồ sơ đăng nhập tự động bỏ qua dấu nhắc mật khẩu theo thiết kế. Không loại nào trở thành loại khác bằng cách sửa tệp.

Kiểm tra 4: xác nhận chính sách cho phép loại đó

Có những loại hồ sơ nào là thiết lập của quản trị viên, không phải sở thích của ứng dụng khách. Nếu cổng chỉ cung cấp bản tải xuống khóa theo người dùng, máy chủ có thể không cho phép loại khác, hoặc cho phép loại mà nhóm của tài khoản không nhận được. Yêu cầu quản trị viên bật một loại khác để nút còn thiếu xuất hiện là thay đổi chính sách có hệ quả thật, và gỡ xác thực đa yếu tố để vào trang tải xuống là đánh đổi kiểm soát xác thực lấy sự tiện lợi.

Tùy phiên bản, giao diện web quản trị cũng cung cấp quản lý hồ sơ cho một người dùng, nơi quản trị viên có thể cấp hoặc thu hồi hồ sơ mà không cần đăng nhập với tư cách người đó. Ở nơi không có khả năng này, người dùng tự tải tệp của mình. Dù thế nào, nguồn đúng là tài khoản dự định, không bao giờ là hồ sơ quản trị viên bị sao chép và coi như mẫu.

Kiểm tra 5: bàn giao, rồi giữ tệp có thể thu hồi

Coi bản tải xuống là tài liệu thông tin xác thực chứ không phải tệp cấu hình. Hồ sơ khóa theo người dùng chứa khóa riêng, nên nó phải đi qua kênh mà bạn sẽ dùng cho mật khẩu, không qua thư mục ổ đĩa chia sẻ hay nhóm trò chuyện. Ghi lại người dùng và thiết bị nào nhận tệp nào, vì việc thu hồi diễn ra theo tài khoản: khi máy tính xách tay được thay hoặc bị mất, quản trị viên thu hồi quyền truy cập của người đó và cấp hồ sơ mới, còn tệp cũ ngừng hoạt động ở lần kết nối tiếp theo.

Kết thúc bằng bốn bước kiểm tra theo thứ tự này: đăng nhập cổng là đúng người dùng dự định, tệp chứa danh tính chứ không chỉ địa chỉ máy chủ, một kết nối thử từ ứng dụng khách dự định thành công, và kết nối thứ hai bằng tài khoản khác thất bại. Nếu bước thứ tư thành công, bạn đã phát nhầm tệp, và bước tiếp theo là thu hồi chứ không phải sửa cấu hình. hướng dẫn tải xuống Access Server cho thấy bố cục cổng hiện tại và sự khác biệt giữa hồ sơ và trình cài đặt được cấu hình sẵn.