OpenVPN Access Server teenoor Community: wat werklik migreer

Profiele beweeg; gebruikerslyste bly agter. 'n Span wat tussen Access Server en Community Edition oorskakel, tref daardie gaping 'n uur ná die oorskakeling, wanneer sy eerste kliënt verifieer en dan geen groepsbeleid, geen per-gebruiker-roete en geen selfdiens-wagwoordherstel het nie. Albei produkte praat dieselfde protokol en aanvaar dieselfde kliënt, en juis daarom bly die gaping onsigbaar tydens beplanning. Wat jy eintlik kies, is die bestuurslaag en die mense wat dit besit.

Hanteer die besluit as 'n inventarisvraag eerder as 'n kenmerkraster. Vra wie gebruikers skep, wie sertifikate herroep, en wie om 02:00 die oproep antwoord.

Waarom die .ovpn-lêer nie die opstelling dra nie

'n .ovpn-profiel beskryf een kliënt se verhouding met een bediener: die afgeleë gasheer, die protokol, die CA, 'n kliëntsertifikaat en -sleutel, en enige inline tls-crypt-materiaal. Gooi daardie lêer in 'n nuwe bou en die kliënt voltooi steeds 'n handdruk, so die migrasie lyk klaar. Niks daarin lys die gebruikers, hul groepe, hul statiese roetes, of die beleid wat besluit het wie hoegenaamd mag koppel nie. Daardie rekords woon in die bediener se eie stoorplek, en die twee produkte stoor hulle in verskillende vorms.

In Community Edition is die ekwivalente lêers wat jy hou: client-config-dir-inskrywings met per-kliënt-opsies soos ifconfig-push en iroute, 'n CRL vir herroepings, en die tls-crypt-sleutel. Access Server hou dieselfde konsepte in sy eie databasis en stel dit beskikbaar deur 'n webkonsole en die sacli-opdragreëlhulpmiddel. Die konsepte pas een-op-een; die artefakte beweeg glad nie.

Profiele smokkel ook gedrag in wat niemand raaksien voordat dit verander nie. 'n Kliënt met redirect-gateway def1 stuur alle blaaiwerk deur die bediener; skuif dit na 'n bou sonder daardie reël en die klag is dat die internet gebreek het. 'n CA-wanpassing of 'n verkeerde remote-cert-tls-instelling misluk hardop, wat die goeie uitkoms is. 'n Ontbrekende tls-crypt-sleutel misluk as 'n stil tydsverloop, wat nie die geval is nie.

Wat die bestuurslaag besit

Tel wat nie protokol is nie: rekeninge skep, wagwoordherstel, groepstoewysing, MFA-inskrywing, verbindingsregte, en die ouditspoor wat beantwoord wie wanneer gekoppel het. Community Edition lewer niks daarvan regstreeks nie. Jy kies 'n verifikasie-agtergrond, koppel PAM, LDAP of RADIUS in deur 'n inprop of auth-user-pass-verify, en onderhou die res self. Access Server lewer 'n gebruikersportaal, 'n administrasiekonsole en integrasies vir algemene identiteitsverskaffers. Nie een reëling is by verstek veiliger nie, want die beleid moet steeds geskryf word deur iemand wat die netwerk ken.

Regte is die skerpste operasionele verskil. Access Server word gelisensieer op 'n aantal gelyktydige verbindings en dwing daardie aantal in sagteware af. Op Community Edition is 'n globale perk 'n enkele max-clients-reël, terwyl enigiets per gebruiker of per groep meer client-config-dir-werk en jou eie afdwinging beteken. 'n Span sonder aptyt vir daardie onderhoud koop presies dit wanneer hy vir die kommersiële produk betaal.

Lisensiering en ondersteuning: die reël wat niemand begroot nie

Community Edition is gratis en oopbron. Access Server is kommersieel, en sy gratis vlak het histories 'n klein aantal gelyktydige verbindings gedek met 'n betaalde lisensie daarboor. Enige syfer in 'n ou forumantwoord is nou verouderd, so kyk na die verkoper se huidige voorwaardes voordat jy die projek begroot. Die eerlike vergelyking tel die ure wat aan gebruikersbestuur, MFA en monitering aan die gemeenskapskant bestee word by die lisensiereël aan die kommersiële kant.

Ondersteuningskap volg dieselfde verdeling. Met Community Edition is jy die eskaleringspad vir elke vreemde kliënt en elke kerne-opdatering. Met Access Server het jy 'n verkoper om te bel, en jy erf sy vrystellingsritme of dit by jou veranderingsvenster pas of nie.

Toetse om voor die oorskakeling te doen

Inventariseer wat die bedrywende bediener werklik hou voordat jy in enige rigting oorskakel. Aan die Access Server-kant, voer die gebruikerslys en groepstoewysings uit en let op watter rekeninge op MFA staatmaak. Aan die Community Edition-kant, lys die uitgereikte sertifikate, die CRL en elke lêer onder client-config-dir. Vergelyk die twee lyste reël vir reël, want die verskil tussen hulle is die migrasiewerk.

Toets verteenwoordigende kliënte terwyl die ou diens nog loop. openvpn --config client.ovpn --verb 4 in die voorgrond druk die handdruk, die gestuurde roetes en die DNS-opsies, en openssl x509 -in client.crt -noout -subject -enddate wys watter sertifikaat die kliënt werklik aanbied. 'n Kliënt wat koppel maar nie 'n interne gasheer kan bereik nie, het 'n roete- of iroute-gaping, nie 'n verifikasiefout nie.

Hou die ou herstelpad aan die lewe totdat die vervanging 'n geweierde-toegang-toets slaag sowel as 'n suksesvolle een. Skryf die finale kaart as 'n enkele bladsy: elke vereiste, die artefak wat dit vandag bevredig, en die artefak wat dit daarna sal bevredig.