SSTP супраць OpenVPN: той жа порт 443, іншы пратакол

Абодва варыянты могуць стаяць за TCP 443, таму людзі мяркуюць, што гэта ўзаемазаменныя канчатковыя пункты. Гэта не так: SSTP сервер гаворыць PPP унутры HTTPS, а сервер OpenVPN гаворыць уласным пратаколам паверх TLS або праз сыры паток UDP. Калі накіраваць адзін кліент на порт іншага, атрымаецца злучэнне, якое ніколі не дасягае запрашэння на ўваход. Выбар тычыцца таго, які кліент і транспарт вы можаце падтрымаць, а не самаго нумара.

Агульны порт не робіць агульнага пратаколу

Рукапоціск TLS можа завяршыцца і ўсё роўна нікуды не прывесці, бо кліент і сервер пасля гэтага не згаджаюцца, што казаць далей. У перахопе пакетаў вы бачыце чысты рукапоціск, за якім ідуць даныя праграмы, якія суразмоўца адхіляе або ігнаруе. Гэты ўзор — подпіс неадпаведнасці пратаколаў, а не блакіроўкі міжсеткавым экранам.

Ні пераназваны профіль, ні іншы пункт меню не ператварае адно ў другое. Злучэнне SSTP ствараецца ў наладах VPN Windows з адрасам сервера і данымі аўтэнтыфікацыі аператара, а злучэнню OpenVPN патрэбны кліент і адпаведны файл канфігурацыі. Спецыфікацыя SSTP ад Microsoft апісвае першае і не апісвае рукапоціск OpenVPN.

Порт 443 — гэта зручнасць палітыкі. Ён праходзіць праз сеткі, якія дазваляюць мала што іншае, і гэта сапраўдная перавага, але ён нічога не кажа пра тое, які пратакол працуе за ім.

SSTP тунелюе PPP унутры HTTPS

Назва апісвае будову: кадры PPP, якія пераносяцца ўнутры сесіі HTTPS, гэта значыць TLS унізе і сертыфікат, які кліент можа праверыць. Windows уключае гэта як уласны тып VPN, таму кіраваны ноўтбук часта можа падключыцца без дадатковага праграмнага забеспячэння, акрамя профілю, які дае аператар.

Іншыя платформы — гэта іншая гісторыя. Кліенту Linux або macOS патрэбна падтрымліваемая рэалізацыя, а яны адрозніваюцца ў тым, што падтрымліваюць і як паведамляюць пра памылкі. Праверце кліент, які вы сапраўды плануеце выкарыстоўваць, замест таго каб меркаваць, што ўбудаваная магчымасць Windows перанясецца, і пераканайцеся, што імя сервера ў профілі супадае з сертыфікатам, які прад'яўляе сервер.

SSTP звычайна толькі TCP. Гэты адзіны транспарт уплывае на тое, як ён сябе паводзіць на канале са стратамі, бо паўторная перадача адбываецца і ўнутры тунеля, і пад ім.

OpenVPN прыносіць свой кліент і выбар транспарту

OpenVPN пастаўляе свой кліент і профіль, што дае вам дыягностыку, якую не паказвае ўбудаваны дыялог Windows. Сервер можа слухаць на UDP або TCP, і канфігурацыя аператара вырашае, які з іх павінен выкарыстоўваць ваш кліент. Профіль, накіраваны на няправільны транспарт, падае яшчэ да аўтэнтыфікацыі.

Аўтэнтыфікацыя гэтак жа залежыць ад канфігурацыі. Разгортванне можа патрабаваць толькі сертыфікаты, сертыфікаты плюс імя карыстальніка і пароль або другі фактар зверху, і кліент павінен дакладна адпавядаць гэтаму парадку. Тое, што злучэнне дасягае стадыі TLS, не кажа, якія ўліковыя даныя яно запытае далей.

UDP — звычайны стандарт, бо ён пазбягае ўкладвання надзейнага патоку ў іншы надзейны паток. Рэжым TCP існуе для сетак, якія блокуюць UDP, і ён працуе, але моцныя страты могуць зрабіць яго горшым на адчуванне, чым шлях UDP, які ён замяніў. Выбірайце TCP, калі трэба, а не таму што ён гучыць надзейна.

Выбірайце па кліенце, транспарце і падтрымцы

Тры пытанні вырашаюць большасць такіх рашэнняў. Ці патрэбна кожнай кліенцкай прыладзе злучэнне, якое працуе з нулём дадатковых праграм? Ці дазваляе сетка, на якую вы абапіраецеся, UDP, ці TCP 443 — адзіны выхад? І хто падтрымлівае кліент, яго абнаўленні і яго аднаўленне, калі профіль сканчаецца?

Калі параўноўваеце гэтыя два, тэстуйце на той жа прыладзе і ў той жа сетцы доступу. Калі канчатковы пункт SSTP і канчатковы пункт OpenVPN — розныя серверы або розныя пляцоўкі, ваш вынік уключае гэтыя маршруты і машыны замест таго каб ізаляваць пратакол. Гэта самы часты спосаб, якім такія параўнанні даюць упэўнены, але няправільны адказ.

Затым пераканайцеся, што менавіта вы ўсталявалі, перш чым адладжваць што-небудзь яшчэ:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Так ці інакш, скончыце тым, што праверыце рэсурс і DNS, які вам патрэбны, замест таго каб абвяшчаць поспех на стане тунеля. Абодва пратаколы можна наладзіць так, каб яны пераносілі толькі выбраны прыватны трафік, а падключаны тунель без працаздольнага развязання імёнаў выглядае як зламаны VPN, калі насамрэч гэта раздзелены тунель або схема DNS.

У кіраваным парку раздача профіляў і падтрымка абнаўленняў звычайна вырашаюць пытанне задоўга да любога замеру транспарту.