Windows se inkomende VPN of 'n OpenVPN-gasheer: kies binne vyf minute

Windows kan 'n VPN-verbinding aanvaar sonder enige program buiten die bedryfstelsel, en dit help regtig wanneer twee masjiene wat jy besit vir een middag 'n tonnel nodig het. Dit bly omtrent so lank bruikbaar. Die ingeboude luisteraar het 'n vaste protokollys, geen beleid per kliënt nie, en 'n afhanklikheid van 'n rekenaar wat iemand dalk toemaak. Om tussen hom, 'n router-eindpunt en 'n OpenVPN-gasheer te kies, kom op drie voorwaardes neer, nie op voorkeur nie.

Wat die ingeboude luisteraar werklik is

Die towenaar vir inkomende verbindings maak 'n werksstasie 'n klein eindpunt vir afstandtoegang. Jy kies watter plaaslike rekeninge mag inbel, hoe adresse uitgegee word en watter protokol aangeskakel is: PPTP, plus L2TP/IPsec of SSTP waar die uitgawe en die sertifikaatwerk dit ondersteun.

Wat dit nie is nie, is 'n beleidlaag. Daar is geen roetetoewysing per gebruiker nie, geen verdeelde tonnel wat die bediener afdwing nie, en geen skeiding tussen die tonnel en die werksstasie se eie netwerkidentiteit nie. 'n Kliënt wat koppel, beland op dieselfde segment as die werksstasie, onder daardie segment se firewallreëls.

Daardie laaste punt is die een om te oorweeg. Die werksstasie se eie poorte, delings en blaaier is nou bereikbaar vir elkeen wat die rekening het, en die rekening is 'n plaaslike Windows-rekening met alles anders wat dit al kan doen.

Drie voorwaardes wat die keuse bepaal

Vra hoe lank die toegang moet duur, hoeveel mense dit nodig het, en of die netwerk die protokol hoegenaamd kan lewer.

As die antwoord een masjien, een persoon en 'n paar uur op 'n netwerk is waar jy die router beheer, is die ingeboude luisteraar proporsioneel. As toegang vir 'n maand herstarte moet oorleef, vyf kollegas met aparte geloofsbriewe moet bedien, of moet werk vanaf 'n mobiele netwerk wat geen inkomende verbindings kan ontvang nie, is dit nie. As die protokol IP-protokol 47 eerder as 'n poort vereis, kan die netwerk weier om dit te lewer, ongeag wat Windows ondersteun.

Daardie drie antwoorde skakel die meeste van die argument in een slag uit. Die res is implementeringsdetail.

Waar 'n router-eindpunt wen

'n Tonnel wat op die router eindig, is die natuurlike pas vir permanente toegang. Die router is reeds altyd aan, dit kan 'n werf-tot-werf-tonnel na 'n ander kantoor dra, en kliënte het niks geïnstalleer nodig as die router die protokol bied wat hulle gebruik.

Die beperking is fermware. Verbruikersrouters ondersteun dikwels 'n subset van wat die spesifikasie toelaat, en 'n model wat VPN-ondersteuning adverteer, het dalk nie juis die een wat jy beplan het nie. Kyk na die kenmerke van die geïnstalleerde fermware, nie van die produkfamilie nie.

Waar 'n OpenVPN-gasheer wen

'n OpenVPN-bediener op 'n klein rekenaar wat altyd aan is, pas by gemengde kliënte, verskeie gebruikers met aparte geloofsbriewe, en netwerke waar 'n enkele uitgaande poort die verskil tussen werk en geblok is. Dit gee 'n profiel per kliënt uit, werk op elke groot platform, en gedra hom van die kliënt se kant soos 'n gewone uitgaande toepassing.

Dit vra ook 'n eienaar. Iemand moet sertifikate hernu, gasheerbystandings installeer en die logboek lees wanneer 'n kliënt nie kan koppel nie. Sonder daardie persoon verval 'n selfgehuisvese eindpunt stilweg tot die dag wat dit saak maak.

Toets die pad voordat jy toegang belowe

Die mees algemene rede waarom 'n Windows-luisteraar misluk, is nie verifikasie nie. Dit is die pad: PPTP benodig inkomende TCP 1723 en GRE, wat protokol 47 eerder as 'n poort is, en baie routers stuur slegs poorte aan. Sommige toegangsnetwerke laat hoegenaamd geen inkomende verbindings toe nie. Daardie een feit sluit die ingeboude luisteraar op meer netwerke uit as enige Windows-instelling.

Toets die pad voordat jy rekeninge opstel, sodat 'n faling een kandidaat het eerder as drie:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

'n Geslote poort op die eerste reël is 'n aanstuur- of draerprobleem, nie 'n Windows-probleem nie. Die derde reël is die toets wat jy sou doen nadat jy OpenVPN gekies het, waar 'n enkele luisterende UDP-poort die hele protokolvraag vervang.

Watter opsie jy ook kies, moenie PPTP as langtermynreëling na die internet laat wys nie; sy verifikasie en enkripsie is verouderd. En as die werklike behoefte een webtoepassing is, is 'n omgekeerde instaanbediener 'n kleiner antwoord as enige VPN.