SSTP teenoor OpenVPN: dieselfde poort 443, verskillende protokol

Albei opsies kan agter TCP 443 sit, so mense aanvaar dat dit verwisselbare eindpunte is. Dit is nie so nie: SSTP is 'n bediener wat PPP in HTTPS praat, terwyl 'n OpenVPN-bediener sy eie protokol oor TLS of 'n rou UDP-stroom praat. As jy een kliënt na die ander se poort wys, kry jy 'n verbinding wat nooit by 'n aanmeldprompt uitkom nie. Die keuse gaan oor watter kliënt en vervoer jy kan ondersteun, nie oor die nommer nie.

'n Gedeelde poort maak nie 'n gedeelde protokol nie

Die TLS-handskud kan voltooi en steeds nêrens heen lei nie, want die kliënt en die bediener is dit dan oneens oor wat volgende gesê moet word. In 'n pakkieopname sien jy 'n skoon handskud gevolg deur toepassingsdata wat die eweknie verwerp of ignoreer. Daardie patroon is die kenmerk van 'n protokolverskil eerder as 'n firewallblokkade.

Nie 'n hernoemde profiel of 'n ander kieslysinskrywing maak die een in die ander om nie. 'n SSTP-verbinding word uit die Windows VPN-instellings geskep met 'n bedieneradres en die operateur se verifikasiedetails, terwyl 'n OpenVPN-verbinding die kliënt en die bypassende konfigurasielêer nodig het. Microsoft se SSTP-spesifikasie beskryf die eerste, en dit beskryf nie 'n OpenVPN-handskud nie.

Poort 443 is 'n beleidsgerief. Dit kom deur netwerke wat min anders toelaat, en dit is 'n werklike voordeel, maar dit sê niks oor watter protokol daarbo loop nie.

SSTP tonnel PPP binne HTTPS

Die naam beskryf die konstruksie: PPP-rame binne 'n HTTPS-sessie, wat TLS daaronder beteken en 'n sertifikaat wat die kliënt kan nagaan. Windows sluit dit as 'n inheemse VPN-tipe in, so 'n bestuurde skootrekenaar kan dikwels verbind sonder enige bykomende sagteware buiten die profiel wat die operateur voorsien.

Ander platforms is 'n ander storie. 'n Linux- of macOS-kliënt het 'n onderhoue implementering nodig, en dié verskil in wat hulle ondersteun en hoe hulle foute rapporteer. Kontroleer die kliënt wat jy werklik beplan om te gebruik eerder as om te aanvaar dat die ingeboude Windows-vermoë oorgedra word, en bevestig dat die bedienernaam in die profiel ooreenstem met die sertifikaat wat die bediener voorlê.

SSTP is tipies net TCP. Daardie enkele vervoer beïnvloed hoe dit op 'n verliesryke skakel optree, want herversending gebeur binne die tonnel sowel as daaronder.

OpenVPN bring sy eie kliënt en 'n keuse van vervoer

OpenVPN lewer sy eie kliënt en profiel, wat jou diagnostiek gee wat 'n inheemse Windows-dialoog nie blootlê nie. Die bediener kan op UDP of TCP luister, en die operateur se konfigurasie besluit watter een jou kliënt moet gebruik. 'n Profiel wat na die verkeerde vervoer wys, misluk voor verifikasie.

Verifikasie is ewe konfigurasiegedrewe. 'n Ontplooiing kan slegs sertifikate vereis, sertifikate plus 'n gebruikersnaam en wagwoord, of 'n tweede faktor daarby, en die kliënt moet presies by daardie reëling pas. Die feit dat 'n verbinding die TLS-stadium bereik, sê nie watter geloofsbriewe dit volgende gaan vra nie.

UDP is die gewone verstek omdat dit vermy om 'n betroubare stroom binne nog 'n betroubare stroom te nes. TCP-modus bestaan vir netwerke wat UDP blokkeer, en dit werk, maar swaar verlies kan dit slegter laat voel as die UDP-pad wat dit vervang het. Kies TCP wanneer jy moet, nie omdat dit meer betroubaar klink nie.

Kies volgens kliënt, vervoer en ondersteuning

Drie vrae besleg die meeste van hierdie besluite. Het elke kliënttoestel 'n verbinding nodig wat met nul bykomende sagteware werk? Laat die netwerk waarop jy staatmaak UDP toe, of is TCP 443 die enigste uitgang? En wie ondersteun die kliënt, sy opdaterings en sy herstel wanneer 'n profiel verval?

Wanneer jy die twee vergelyk, toets op dieselfde toestel en dieselfde toegangsnetwerk. As die SSTP-eindpunt en die OpenVPN-eindpunt verskillende bedieners of verskillende terreine is, sluit jou resultaat daardie roetes en masjiene in eerder as om die protokol te isoleer. Dit is die algemeenste manier waarop hierdie vergelykings 'n selfversekerde maar verkeerde antwoord lewer.

Bevestig dan watter een jy werklik gevestig het voordat jy enigiets anders ontfout:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Hoe dit ook al sy, eindig deur die hulpbron en die DNS wat jy nodig het te toets eerder as om sukses by die tonneltoestand te verklaar. Albei protokolle kan so gekonfigureer word dat hulle slegs geselekteerde private verkeer dra, en 'n verbinde tonnel sonder werkende naamresolusie lyk soos 'n stukkende VPN wanneer dit eintlik 'n split-tonnel- of DNS-ontwerp is.

Op 'n bestuurde vloot besluit profielverspreiding en opdateringsondersteuning gewoonlik die vraag lank voordat enige vervoermaatsaf dit doen.