Pag-upgrade ng Seguridad ng OpenVPN

Buksan ang Firewall Interface at Pumunta sa OpenVPN

Ang buong pag-upgrade ay nangyayari sa loob ng admin interface ng firewall — walang bagong server at walang karagdagang software. Buksan ang Google Chrome, ilagay ang IP address ng iyong firewall, at mag-log in sa interface. Pagkatapos ay i-click ang OpenVPN at buksan ang mga setting ng Server. Lahat ng nasa gabay na ito — pagpapatotoo, direktoryo ng user at MFA — ay binago mula sa isang lugar na ito.

I-on ang Username at Password Authentication

Sa mga setting ng server, pumunta sa Authenticate at piliin ang Username at Password Authentication, pagkatapos ay I-save ang mga setting. Ito ang mahinang setting na pinapalitan, malinaw na nakasaad: hanggang ngayon ang client config file sa sarili nitong ay sapat na upang kumonekta — sinumang may hawak ng kopya ng file na iyon ay may hawak na susi sa iyong network, na walang password at walang nakalakip na pangalan. Mula sa hakbang na ito, ang file na nag-iisa ay nag-uugnay sa wala; dapat ding sabihin ng kliyente kung sino ang kumokonekta.

Gumawa ng Isang Local Directory Account bawat Tao

Ngayon, buuin ang listahan ng user. I-click ang Lokal na Direktoryo, pagkatapos ay I-configure ang Lokal na Direktoryo, at idagdag ang bawat user: ilagay ang pangalan (ang username kung saan sila magla-log in), ang buong pangalan, at isang tama, wastong password. I-click ang Tapos na at pagkatapos ay I-save. Ulitin para sa bawat tao na gumagamit ng VPN — isang account bawat tao, walang nakabahaging pag-log in sa "opisina."

Ang mga pinangalanang account ang nagpapagana sa natitirang bahagi ng pag-upgrade na ito: Ang MFA ay naka-enroll sa bawat account, maaaring bawiin ang access sa bawat account sa araw na may umalis, at ang mga log ng koneksyon sa wakas ay nagpapakita ng mga tunay na pangalan sa halip na isang nakabahaging file.

I-enable ang Two-Step Verification (MFA) para sa Account

Ito ang puso ng pag-upgrade. Para sa account, i-click ang opsyon na Magdagdag ng MFA Client Configuration at I-save ito. Pagkatapos ay i-click muli ang I-configure — bubuo na ngayon ang server ng MFA key o QR code para sa user na iyon. Ini-scan ng user ang QR code gamit ang isang authenticator app sa kanilang sariling telepono (Google Authenticator, Microsoft Authenticator o anumang TOTP app).

Mula ngayon, ang bawat koneksyon ay nangangailangan ng tatlong bagay sa pagkakasunud-sunod: ang client config file, ang username at password, at ang anim na digit na isang beses na code mula sa telepono. Ang isang ninakaw na config file o isang nag-iisang na-leak na password ay wala na ngayong nagkokonekta.

I-download ang Fresh Client Configuration File

Pagkatapos i-on ang MFA, dapat palitan ang mga lumang config ng client: bumalik sa interface at i-download ang file ng configuration ng OpenVPN client para sa bawat user, sa paraang ginagawa ng video. Ibigay sa bawat tao ang kanilang sariling bagong file, at ipatanggal sa kanila ang lumang config kapag gumana na ang bago — ang lumang config na natitira sa isang laptop ay isang lumang key na nasa sirkulasyon pa rin.

I-import ang Config at Pagsubok sa Isang Kliyente Una

Huwag ilunsad ito sa lahat nang sabay-sabay. Kumuha muna ng isang user: i-import ang bagong config file sa OpenVPN client, pagkatapos ay kumonekta — hihingin muna ng kliyente ang username at password, at pagkatapos ay ang one-time code mula sa authenticator app. Kumpirmahin na ang koneksyon ay naitatag at ang isang mapagkukunan ng opisina ay aktwal na bubukas, pagkatapos ay idiskonekta at muling kumonekta muli.

Pagsubok mula sa isang Panlabas na Network — at ang DHCP Note

Nagsasara ang video na may mahalagang tala: subukan ang natapos na pag-setup mula sa isang tunay na panlabas na network — gumagana nang maayos ang mobile data para dito. Ang pag-log in sa VPN na nagtatagumpay lamang mula sa loob ng opisina ay hindi nagpapatunay, dahil ang malayong pag-access ang buong punto ng pag-setup.

Ipinapaliwanag din ng video ang isang limitasyon sa mga network ng DHCP: kung natatanggap ng koneksyon sa internet ang pampublikong address nito sa pamamagitan ng DHCP, maaaring magbago ang address na iyon. Kung magbabago ito, hihinto sa pag-abot sa firewall ang isang client config na tumuturo sa lumang address hanggang sa ma-update ang address — kaya sa mga ganitong koneksyon, tingnan muna ang kasalukuyang pampublikong address sa tuwing biglang hindi makakonekta ang mga malalayong user.