OpenVPN of IKEv2: vier kontroles voordat jy ’n protokol kies

Die keuse tussen OpenVPN en IKEv2 word gewoonlik as ’n protokolvraag beredeneer, en daardie raamwerk mors die besluit. Wat dit beslis, is of jou bediener en jou toestelle dieselfde volledige profiel ondersteun, en of daardie profiel die manier oorleef waarop jy tussen netwerke beweeg. Die twee stelle kan nie in mekaar vertaal word nie: ’n OVPN-lêer is nie ’n IKEv2-profiel met ander sintaksis nie. Vier kontroles, in volgorde uitgevoer, beantwoord die vraag vinniger as enige kenmerktabel.

Ontbrekende kliënt beëindig die bespreking

Windows en macOS lewer ’n IKEv2-kliënt saam, so ’n IKEv2-profiel kos niks ekstra om daar te ontplooi nie en erf die voorsieningsopsies wat die bedryfstelsel reeds bied. OpenVPN op dieselfde masjiene beteken ’n derdeparty-kliënt wat geïnstalleer, opgedateer en ondersteun moet word, en daardie kliënt moet elke opsie aanvaar wat die profiel gebruik. Tel die platforms wat jy moet dek voordat jy enigiets anders vergelyk, want ’n platform sonder ’n werkende kliënt is glad nie ’n vergelykingspunt nie.

Op Windows lys een opdrag die profiele wat reeds bestaan en wys watter tipe elkeen is. Die naam wat dit druk, is die naam wat die latere kontroles gebruik.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

’n Versoek om ’n kliënt te installeer is die werklike antwoord vir die OpenVPN-kolom op daardie platforms, en dit is ’n ontplooiingstaak eerder as ’n protokolbeperking. Nie een van die twee reëlings verwyder vertrouensondersoeke, identiteitsverifiëring of instandhouding nie. Vra hoe profiele versprei word, hoe geloofsbriewe hernu word en hoe ’n verlore toestel verwyder word voordat jy jou verbind. ’n Eenvoudige installasie kan steeds ’n herstelproses verberg wat niemand oor die naweek wil uitvoer nie.

Mobiliteit is ’n gesamentlike instelling, nie ’n protokolbelofte nie

IKEv2 kan MOBIKE gebruik wanneer beide kante dit ondersteun en aktiveer, wat ’n kliënt laat voortgaan met sy tonnel terwyl sy adres verander. RFC 4555 definieer die uitbreiding, en die voorwaardelike bewoording is belangrik: ’n bediener wat die vermoë ignoreer, onderhandel eerder opnuut. Die resultaat kan identies lyk vir ’n lêeroordrag en heeltemal anders vir ’n lewende oproep.

Toets die oorgang wat jy werklik belangrik ag, met iets aan die gang wat jy kan dophou. Hou ping -t <internal-host> aan die gang op Windows, of die gewone ping elders, en skakel dan van Wi-Fi na sellulêr en let op gapings. ’n MOBIKE-fout verskyn as ’n volledige herverifikasie in die kliëntlog eerder as ’n stil adresopdatering. Wat jy meet, is of die tonnel die verandering oorleef, nie of die protokol ondersteuning adverteer nie.

OpenVPN-kliënte herverbind volgens hul eie platformgedrag en profieltydhouers, so dieselfde toets kan ’n ander vorm van onderbreking lewer. Vergelyk die gebeurtenis wat vir jou gebruikers saak maak, eerder as die etiket op die protokol.

Geloofsbriewe behoort aan die diens, nie aan die stel nie

Sertifikate en ander aanmeldingsreëlings behoort aan die diens wat die verbinding beëindig. ’n Wagwoordversoek in een kliënt sê niks oor versoenbaarheid met ’n ander nie, en ’n profiel wat teen ’n ander gateway werk, sê niks oor hierdie een nie. Hou die bedieneridentiteitsreëls ongeskonde terwyl jy die twee stelle vergelyk. Om protokolle te ruil voordat jy die fout geïdentifiseer het, lewer gewoonlik ’n tweede onversoenbare profiel.

Ondersoek die geloofsbrief wat die kliënt gaan voorlê voordat jy een van die protokolle blameer, want ’n vervalde of verkeerd uitgereikte sertifikaat misluk dieselfde op albei. Die uitset hieronder wys onderwerp, uitreiker en geldigheidsdatums sonder om die private sleutel te lees.

openssl x509 -in client.crt -noout -subject -issuer -dates

Gebruik vir ’n maatskappyverbinding die metode wat die maatskappy publiseer en hou op om die vergelyking as ’n eksperiment te behandel. As jy die twee vir jouself vergelyk, kyk eers of albei opsies by een gateway eindig, want daardie enkele besonderheid bepaal hoeveel van jou resultaat oor die protokol gaan. ’n Weiering wat die geloofsbrief noem, is ’n geloofsbriefprobleem, en geen protokolruiling sal dit herstel nie.

Kontroleer wat die tonnel werklik roeteer

Bevestig nadat jy verbind het dat die roete wat jy nodig het bestaan en dat name oplos. ’n Profiel wat vir interne hulpbronne bestaan, kan gewone blaaiing ontwerpmatig op die plaaslike pad laat, en dit is ’n beleidsbesluit eerder as ’n fout. Wat saak maak, is of die bestemmings wat jou span gebruik deur die tonnel bereikbaar is.

Twee opdragte dek die roete en die naamopsoeking op Windows. Die Linux-ekwivalente is ip route show default en resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

’n Tonnel wat opkom en niks nuttigs roeteer nie, is ’n algemene uitkoms wanneer ’n profiel tussen dienste gekopieer is, en ’n generiese verbindingstoets sal dit nie wys nie omdat die koppelvlak op is. Toets die hulpbron wat jou gebruikers eerste oopmaak, nie ’n publieke adres wat enige pad kan bereik nie. As die naam na ’n publieke adres oplos terwyl die roete in die tonnel in wys, behoort die DNS-antwoord en die roete aan verskillende besluite en albei moet reggestel word.

Weeg instandhouding ná die kontroles

Nie een van die protokolle is in die abstrak meer onderhoubaar nie. Instandhouding hang daarvan af wie die gateway bedryf, hoe profiele by toestelle uitkom en hoe vinnig ’n verlore toestel toegang verloor. ’n Eenvoudige eindpuntkliënt kan voor ’n moeiliker bediener sit om te bedryf, en die omgekeerde gebeur ook. Vra watter van die twee jou span aan die gang kan hou nadat die persoon wat dit gebou het, vertrek het.

Kies watter ondersteunde verbinding die werk dek, en toets dit dan teen die toegang wat jy werklik nodig het eerder as teen ’n kenmerklys. Teken aan by watter gateway elke opsie eindig, want twee verskillende gateways maak die vergelyking net soveel oor roetes as oor protokolle. Herhaal die vier kontroles op die toestel wat jy werklik sal dra, en hou die profiel wat daarop slaag.