SSTP və OpenVPN: eyni 443 portu, fərqli protokol

Hər iki variant TCP 443 arxasında dura bilər, ona görə insanlar onları bir-birini əvəz edə bilən son nöqtələr hesab edir. Belə deyil: SSTP serveri HTTPS daxilində PPP danışır, OpenVPN serveri isə öz protokolunu TLS üzərində və ya xam UDP axını ilə danışır. Bir müştərini digərinin portuna yönəltmək, heç vaxt giriş ekranına çatmayan bir bağlantı yaradır. Seçim hansı müştəri və nəqliyyatı dəstəkləyə biləcəyinizlə, rəqəmlə deyil.

Ortaq port ortaq protokol yaratmır

TLS əl sıxışması tamamlana və yenə də heç yerə aparmaya bilər, çünki müştəri ilə server sonra nə deyiləcəyi barədə razılaşmır. Paket tutumunda təmiz əl sıxışmasından sonra həmyaşının rədd etdiyi və ya görməzdən gəldiyi tətbiq məlumatlarını görürsünüz. Bu nümunə protokol uyğunsuzluğunun əlamətidir, firewall blokunun deyil.

Nə adı dəyişdirilmiş profil, nə də başqa menyu bəndi birini digərinə çevirir. SSTP bağlantısı Windows VPN parametrlərində server ünvanı və operatorun autentifikasiya məlumatları ilə yaradılır, OpenVPN bağlantısı isə müştəri və uyğun konfiqurasiya faylını tələb edir. Microsoft-un SSTP spesifikasiyası birincisini təsvir edir və OpenVPN əl sıxışmasını təsvir etmir.

443 portu siyasət rahatlığıdır. Az başqa şeyə icazə verən şəbəkələrdən keçir və bu real üstünlükdür, lakin arxasında hansı protokolun işlədiyi barədə heç nə demir.

SSTP PPP-ni HTTPS daxilində tünelləyir

Ad quruluşu təsvir edir: HTTPS sessiyası daxilində daşınan PPP kadrları, yəni altda TLS və müştərinin yoxlaya biləcəyi sertifikat. Windows bunu yerli VPN növü kimi daxil edir, ona görə idarə olunan noutbuk çox vaxt operatorun verdiyi profildən başqa heç bir əlavə proqram olmadan qoşula bilir.

Digər platformalar başqa məsələdir. Linux və ya macOS müştərisi saxlanılan bir implementasiya tələb edir və bunlar nəyi dəstəklədikləri və xətaları necə bildirdikləri baxımından fərqlənir. İstifadə etməyi həqiqətən planlaşdırdığınız müştərini yoxlayın, Windows-un daxili imkanının keçəcəyini ehtimal etməyin və profildəki server adının serverin təqdim etdiyi sertifikatla uyğun olduğunu təsdiqləyin.

SSTP adətən yalnız TCP-dir. Bu tək nəqliyyat itkili bir xəttdə necə davrandığına təsir edir, çünki yenidən ötürmə tünelin içində də, altında da baş verir.

OpenVPN öz müştərisini və nəqliyyat seçimini gətirir

OpenVPN öz müştərisini və profilini təqdim edir, bu da sizə yerli Windows dialoqunun göstərmədiyi diaqnostikanı verir. Server UDP və ya TCP üzərində dinləyə bilər və operatorun konfiqurasiyası müştərinizin hansını istifadə etməli olduğunu müəyyənləşdirir. Səhv nəqliyyata yönəldilmiş profil autentifikasiyadan əvvəl uğursuz olur.

Autentifikasiya da eyni dərəcədə konfiqurasiyadan asılıdır. Yerləşdirmə yalnız sertifikatlar, sertifikatlar üstəgəl istifadəçi adı və parol, ya da üstünə ikinci faktor tələb edə bilər və müştəri bu quruluşa dəqiq uyğun gəlməlidir. Bağlantının TLS mərhələsinə çatması növbəti hansı etimadnamələri soruşacağını demir.

UDP adi standartdır, çünki etibarlı axını başqa etibarlı axının içində yerləşdirməkdən qaçır. TCP rejimi UDP-ni bloklayan şəbəkələr üçün mövcuddur və işləyir, lakin ağır itki onu əvəz etdiyi UDP yolundan daha pis hiss etdirə bilər. TCP-ni lazım olanda seçin, daha etibarlı səsləndiyi üçün deyil.

Müştəri, nəqliyyat və dəstəyə görə seçin

Üç sual bu qərarların çoxunu həll edir. Hər müştəri cihazı sıfır əlavə proqramla işləyən bağlantıya ehtiyac duyurmu? Arxalandığınız şəbəkə UDP-yə icazə verirmi, yoxsa TCP 443 yeganə çıxışdır? Və profil vaxtı bitəndə müştərini, yeniləmələrini və bərpasını kim dəstəkləyir?

İkisini müqayisə edərkən eyni cihazda və eyni giriş şəbəkəsində sınaqdan keçirin. SSTP son nöqtəsi ilə OpenVPN son nöqtəsi fərqli serverlər və ya fərqli yerlərdirsə, nəticəniz protokolu təcrid etmək əvəzinə həmin marşrutları və maşınları əhatə edir. Bu müqayisələrin inamlı, lakin səhv cavab verməsinin ən geniş yayılmış yolu budur.

Sonra başqa bir şeyi sazlamadan əvvəl hansını həqiqətən qurduğunuzu təsdiqləyin:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Hər halda, tunel vəziyyətində uğur elan etmək əvəzinə ehtiyac duyduğunuz resursu və DNS-i sınaqdan keçirərək bitirin. Hər iki protokol yalnız seçilmiş şəxsi trafiki daşımaq üçün konfiqurasiya edilə bilər və işlək ad həlli olmayan qoşulmuş tunel əslində bölünmüş tunel və ya DNS dizaynı olduğu halda pozulmuş VPN kimi görünür.

İdarə olunan donanmada profil paylanması və yeniləmə dəstəyi məsələni adətən hər hansı nəqliyyat ölçməsindən qat-qat əvvəl həll edir.