نستخدم OpenVPN: بروتوكول أم محرك أم تطبيق؟ وما الذي يجب أن نسأل عنه بدلًا من ذلك

تصل جملة «نستخدم OpenVPN» في تذاكر الدعم ونماذج الشراء ووثائق تهيئة الموظفين، وهي تجيب في كل منها عن سؤال مختلف. أحيانًا تسمّي بروتوكول نقل، وأحيانًا البرنامج الموجود على بوابة، وأحيانًا التطبيق الذي ينبغي أن يثبّته الموظف الجديد. تلك الحقائق الثلاث تقود إلى خطوات تالية مختلفة، والسؤال عن المقصود منها يستغرق وقتًا أقل من التخمين. بقية التحقيق تتبع تلك الإجابة.

ابدأ بفصل الدور عن العلامة التجارية، لأن العلامة التجارية تغطي الثلاثة معًا.

الاسم يغطي ثلاثة أدوار تتعطل بطرق مختلفة

بوصفه بروتوكولًا، يصف OpenVPN كيف يُنشئ النظراء المتوافقون نفقًا ويحمون ما يعبره. وبوصفه برمجية، فهو تنفيذ يتحدث ذلك البروتوكول بدور عميل أو خادم. وبوصفه عميلًا، فهو تطبيق يثبّته المرء، وله إصداره وصيغة ملف إعداده وخصوصيات منصته. لا يعني تعطل دور تعطل دور آخر، ولهذا تحتاج جملة «OpenVPN معطّل» إلى فاعل.

اسأل عمّا يستطيع المُبلِّغ رؤيته: ملف إعداد، أو برنامج مثبّت، أو بوابة يديرها هو. هذه التفصيلة الواحدة تخبرك ما إذا كانت الخطوة التالية سجل العميل أو سؤالًا عن الحزمة أو فحصًا للمستمع على جانب الخادم.

OpenVPN 2 وOpenVPN 3 ليسا زوجًا من الترقيات

يعمل OpenVPN 2.x بدوري الخادم والعميل، وهو ما تستخدمه معظم نشرات البوابات حتى الآن. أما OpenVPN 3 فهو تنفيذ منفصل موجّه للعميل وله إعداداته ونموذج جلساته الخاص، وليس الإصدار التالي الذي تثبّته فوق خادم 2.x. وOpenVPN Connect تطبيق عميل مبني على محرك OpenVPN 3. وتثبيت أي منها لا ينشئ خدمة خروج إلى الإنترنت؛ فالخروج هو ما هيّأه المُشغّل.

التوافق على مستوى البروتوكول لا يمتد إلى توجيهات ملف الإعداد، لذا قد يفشل ملف يُستورد بنجاح عند توجيه لا يطبّقه العميل.

النقل ليس التطبيق الذي بداخله

يستخدم الاتصال الخارجي نقلًا مثل UDP أو TCP للوصول إلى مستمع هيّئ، وكل ما يحمله النفق يسير داخله. طلب الويب الذي يُجرى عبر الـVPN لا يحتاج إلى مستمع OpenVPN خاص به، ولا يتحول على السلك إلى حزمة OpenVPN. في وضع TLS تتفاوض قناة التحكم على مادة المفاتيح بينما تحمي قناة البيانات الحمولة، وهو فصل يجدر الحفاظ عليه عند قراءة السجلات.

الخلط بين الطبقتين يُنتج طلبات مثل فتح منفذ لموقع يعمل أصلًا عبر النفق. المنفذ يخص الاتصال الخارجي، لا التطبيق.

ما يستطيع ملف الإعداد أن يَعِده وما لا يستطيع

يخبر ملف الإعداد عميلًا واحدًا بكيفية الوصول إلى خدمة واحدة: نقطة النهاية، والنقل، ومادة الهوية، وغالبًا بعض تفضيلات التوجيه وDNS. ولا يقول شيئًا عمّن يشغّل تلك الخدمة أو عمّا إذا كان الحساب مُصرَّحًا له. المسارات وإعدادات المُحلِّل وقواعد إعادة التوجيه وسياسة الوصول هي ما يحدد ما تصل إليه الجلسة فعليًا. ملف الإعداد الذي يُستورد بنجاح هو بداية اتصال عامل، لا دليل على وجوده.

حين يسأل أحدهم عمّا إذا كان مورد ما يمكن الوصول إليه عبر الـVPN، تعتمد الإجابة على سياسة الخادم لا على ملف إعداد العميل.

اطلب الشيء القابل للتجهيز

حوّل الاسم الواسع إلى ثلاثة عناصر محددة: العميل وإصداره، وملف الإعداد المُصرَّح به لذلك العميل، والمورد الذي يحتاج الشخص إلى الوصول إليه. بهذه يصبح التجهيز مهمة ملموسة. وبدونها تكون كل إجابة تخمينًا لأي OpenVPN قصدَه السؤال.

سجّل الإجابة في الطلب نفسه. التذكرة التالية ستطرح السؤال نفسه بالطريقة الغامضة نفسها.