Мы выкарыстоўваем OpenVPN: пратакол, рухавік ці праграма? Што спытаць замест гэтага

Фраза «мы выкарыстоўваем OpenVPN» прыходзіць у заяўках, формах закупак і дакументах для новых супрацоўнікаў, і ў кожным з іх яна адказвае на рознае пытанне. Часам яна называе пратакол перадачы, часам праграмнае забеспячэнне на шлюзе, а часам праграму, якую павінен усталяваць новы супрацоўнік. Гэтыя тры факты вядуць да розных наступных крокаў, і спытаць, які з іх маецца на ўвазе, займае менш часу, чым здагадвацца. Астатняе расследаванне вынікае з гэтага адказу.

Пачніце з падзелу ролі і брэнда, бо брэнд ахоплівае ўсе тры.

Назва ахоплівае тры ролі, якія адмаўляюць па-рознаму

Як пратакол OpenVPN апісвае, як сумяшчальныя вузлы ўсталёўваюць тунель і абараняюць тое, што праз яго ідзе. Як праграмнае забеспячэнне гэта рэалізацыя, якая гаворыць на гэтым пратаколе ў ролі кліента або сервера. Як кліент гэта праграма, якую нехта ўсталёўвае, са сваёй версіяй, фарматам профілю і асаблівасцямі платформы. Збой у адной ролі не азначае збою ў іншай, таму фраза «OpenVPN не працуе» патрабуе суб’екта.

Спытайце, што бачыць заяўнік: файл профілю, усталяваную праграму ці шлюз, якім ён кіруе. Гэтая адна дэталь падкажа, ці наступны крок гэта журнал кліента, пытанне пра пакет ці праверка слухача на баку сервера.

OpenVPN 2 і OpenVPN 3 не з’яўляюцца парай для абнаўлення

OpenVPN 2.x працуе ў ролях сервера і кліента, і менавіта яго ўсё яшчэ выкарыстоўваюць большасць разгортванняў шлюзаў. OpenVPN 3 гэта асобная арыентаваная на кліента рэалізацыя з уласнай канфігурацыяй і мадэллю сеансу, а не наступны выпуск, які вы ўсталёўваеце па-над серверам 2.x. OpenVPN Connect гэта кліенцкая праграма, пабудаваная на рухавіку OpenVPN 3. Усталёўка любога з іх не стварае сэрвіс выхаду ў інтэрнэт; выхадам з’яўляецца тое, што наладзіў аператар.

Сумяшчальнасць на ўзроўні пратакола не пашыраецца на дырэктывы профілю, таму профіль, які чыста імпартуецца, можа ўсё роўна не працаваць на дырэктыве, якую кліент не рэалізуе.

Транспарт гэта не праграма ўнутры яго

Знешняе злучэнне выкарыстоўвае транспарт, напрыклад UDP або TCP, каб дасягнуць наладжанага слухача, і ўсё, што нясе тунель, едзе ўнутры яго. Вэб-запыт, зроблены праз VPN, не патрабуе ўласнага слухача OpenVPN і не ператвараецца ў сетцы ў пакет OpenVPN. У рэжыме TLS канал кіравання дамаўляецца пра матэрыял ключоў, а канал даных абараняе карысную нагрузку, і гэта падзел, які варта трымаць правільна пры чытанні журналаў.

Блытаніна ўзроўняў спараджае запыты накшталт адкрыцця порта для сайта, які ўжо працуе праз тунель. Порт належыць знешняму злучэнню, а не праграме.

Што профіль можа абяцаць, а што не

Профіль кажа аднаму кліенту, як дасягнуць адной паслугі: канчатковы пункт, транспарт, матэрыял ідэнтычнасці і часта некаторыя перавагі маршрутызацыі і DNS. Ён нічога не кажа пра тое, хто кіруе гэтай паслугай або ці аўтарызаваны ўліковы запіс. Маршруты, налады распазнавальніка, правілы перасылкі і палітыка доступу вырашаюць, чаго сеанс фактычна дасягае. Профіль, які паспяхова імпартуецца, гэта пачатак працоўнага злучэння, а не доказ яго.

Калі хтосьці пытае, ці дасягальны рэсурс праз VPN, адказ залежыць ад палітыкі сервера, а не ад канфігурацыйнага файла кліента.

Прасіце тое, што можна забяспечыць

Ператварыце шырокую назву ў тры канкрэтыкі: кліент і яго версія, аўтарызаваны профіль для гэтага кліента і рэсурс, да якога чалавеку трэба дабрацца. З імі забеспячэнне становіцца канкрэтнай задачай. Без іх кожны адказ здагадка пра тое, які менавіта OpenVPN меўся на ўвазе.

Запішыце адказ у самім запыце. Наступная заяўка задасць тое ж пытанне гэтак жа неадназначна.