OpenVPN Access Server və Community: həqiqətən nə köçür

Profillər köçür; istifadəçi siyahıları geridə qalır. Access Server ilə Community Edition arasında keçid edən komanda bu boşluqla keçidin ilk saatında rastlaşır: ilk müştəri autentifikasiyadan keçir, sonra nə qrup siyasəti, nə istifadəçi üzrə marşrut, nə də özünəxidmət parol sıfırlaması olur. Hər iki məhsul eyni protokolu danışır və eyni müştərini qəbul edir; boşluğun planlaşdırma zamanı görünməz qalmasının səbəbi məhz budur. Əslində seçdiyiniz idarəetmə qatı və ona sahib olan insanlardır.

Qərarı funksiya cədvəli kimi deyil, inventar sualı kimi qəbul edin. Kimin istifadəçi yaratdığını, kimin sertifikatları ləğv etdiyini və saat 02:00-da kimin zəngə cavab verdiyini soruşun.

Niyə .ovpn faylı quraşdırmanı daşımır

Bir .ovpn profili bir müştərinin bir serverlə əlaqəsini təsvir edir: uzaq host, protokol, CA, müştəri sertifikatı və açarı, həmçinin hər hansı inline tls-crypt materialı. Həmin faylı təzə quruluşa atın — müştəri yenə əl sıxmasını tamamlayır və miqrasiya bitmiş görünür. İçində istifadəçilər, onların qrupları, statik marşrutları və ya kimin ümumiyyətlə qoşulmasına icazə verildiyini müəyyən edən siyasət sadalanmır. Bu qeydlər serverin öz yaddaşında yaşayır və iki məhsul onları fərqli formalarda saxlayır.

Community Edition-da ekvivalentlər sizin saxladığınız fayllardır: hər müştəri üçün ifconfig-push və iroute kimi seçimləri saxlayan client-config-dir qeydləri, ləğvlər üçün CRL və tls-crypt açarı. Access Server eyni anlayışları öz verilənlər bazasında saxlayır və veb konsol və sacli əmr sətri aləti vasitəsilə təqdim edir. Anlayışlar bir-birinə uyğun gəlir; artefaktlar isə heç tərpənmir.

Profillər həm də dəyişənə qədər heç kimin görmədiyi davranışı gizlicə gətirir. redirect-gateway def1 olan müştəri bütün gəzintini serverdən keçirir; onu həmin sətir olmayan quruluşa köçürün və şikayət internetin xarab olduğu olacaq. CA uyğunsuzluğu və ya səhv remote-cert-tls parametri uca səslə uğursuz olur, bu yaxşı nəticədir. Çatışmayan tls-crypt açarı isə səssiz timeout kimi uğursuz olur, bu isə yaxşı deyil.

İdarəetmə qatı nəyə sahibdir

Protokol olmayanı sayın: hesab yaradılması, parol sıfırlaması, qrup təyini, MFA qeydiyyatı, qoşulma hüquqları və kimin nə vaxt qoşulduğuna cavab verən audit izi. Community Edition bunların heç birini birbaşa təqdim etmir. Siz autentifikasiya backend-i seçir, PAM, LDAP və ya RADIUS-u plugin və ya auth-user-pass-verify vasitəsilə qoşur, qalanını özünüz saxlayırsınız. Access Server istifadəçi portalı, idarəetmə konsolu və geniş yayılmış kimlik provayderləri üçün inteqrasiyalar göndərir. Heç bir quruluş susmaya görə daha təhlükəsiz deyil, çünki siyasəti hələ də şəbəkəni bilən biri yazmalıdır.

Hüquqlar ən kəskin əməliyyat fərqidir. Access Server eyni vaxtda olan qoşulmaların sayına görə lisenziyalaşdırılır və bu sayı proqramla tətbiq edir. Community Edition-da qlobal hədd bir max-clients sətridir, istifadəçi və ya qrup üzrə hər şey isə daha çox client-config-dir işi və öz tətbiqiniz deməkdir. Bu xidmətə həvəsi olmayan komanda kommersiya məhsuluna pul verəndə məhz bunu alır.

Lisenziyalaşdırma və dəstək: heç kimin büdcəyə qoymadığı sətir

Community Edition pulsuz və açıq mənbəlidir. Access Server kommersiyadır və onun pulsuz səviyyəsi tarixən az sayda eynivaxtlı qoşulmanı əhatə edib, ondan yuxarısı ödənişli lisenziyadır. Köhnə forum cavabında göstərilən istənilən rəqəm artıq köhnəlib, ona görə layihənin xərcini hesablamazdan əvvəl satıcının cari şərtlərinə baxın. Dürüst müqayisə icma tərəfində istifadəçi idarəetməsi, MFA və monitorinq qurmağa sərf olunan saatları kommersiya tərəfindəki lisenziya sətrinə əlavə edir.

Dəstək sahibliyi eyni bölgünü izləyir. Community Edition ilə hər qəribə müştəri və hər kernel yeniləməsi üçün eskalasiya yolu sizsiniz. Access Server ilə zəng edə biləcəyiniz satıcı var və dəyişiklik pəncərənizə uyğun olsun-olmasın onun buraxılış ritmini miras alırsınız.

Keçiddən əvvəl aparılmalı yoxlamalar

Keçiddən əvvəl — hansı istiqamətdə olursa olsun — işləyən serverin həqiqətən nə saxladığını inventarlaşdırın. Access Server tərəfində istifadəçi siyahısını və qrup təyinatlarını ixrac edin və hansı hesabların MFA-dan asılı olduğunu qeyd edin. Community Edition tərəfində verilmiş sertifikatları, CRL-i və client-config-dir altındakı hər faylı sadalayın. İki siyahını sətir-sətir müqayisə edin, çünki aralarındakı fərq miqrasiya işidir.

Köhnə xidmət hələ işləyərkən nümayəndə müştəriləri sınayın. openvpn --config client.ovpn --verb 4 ön planda əl sıxmasını, ötürülən marşrutları və DNS seçimlərini çap edir, openssl x509 -in client.crt -noout -subject -enddate isə müştərinin həqiqətən hansı sertifikatı təqdim etdiyini göstərir. Qoşulan, lakin daxili hosta çata bilməyən müştəridə autentifikasiya xətası deyil, marşrut və ya iroute boşluğu var.

Köhnə bərpa yolunu sağ saxlayın, ta ki əvəzləyici uğurlu testlə yanaşı rədd edilmiş giriş testindən də keçənə qədər. Yekun xəritəni bir səhifədə yazın: hər tələb, onu bu gün ödəyən artefakt və sonra ödəyəcək artefakt.