Уваходны VPN у Windows або хост OpenVPN: выберыце за пяць хвілін

Windows можа прымаць VPN-злучэнне, не ўсталёўваючы нічога, акрамя аперацыйнай сістэмы, і гэта сапраўды дапамагае, калі дзве вашыя машыны патрабуюць тунэль на адзін дзень. Карысным ён застаецца прыкладна столькі ж. Убудаваны слухач мае фіксаванае меню пратаколаў, не мае палітыкі для кожнага кліента і залежыць ад працоўнага стала, які нехта можа зачыніць. Выбар паміж ім, канчатковым пунктам на маршрутызатары і хостам OpenVPN зводзіцца да трох умоў, а не да перавагі.

Што ўбудаваны слухач уяўляе сабой

Майстар уваходных злучэнняў пераўтварае працоўную станцыю ў невялікі пункт аддаленага доступу. Вы выбіраеце, якія лакальныя ўліковыя запісы могуць дазваніцца, як выдаюцца адрасы і які пратакол уключаны: PPTP, а таксама L2TP/IPsec або SSTP там, дзе гэта падтрымліваюць выпуск і праца са сертыфікатамі.

Чаго ён не ўяўляе — гэта пласта палітык. Няма прызначэння маршрутаў для кожнага карыстальніка, няма раздзеленага тунэля, які навязвае сервер, і няма падзелу паміж тунэлем і ўласнай сеткавай ідэнтычнасцю працоўнай станцыі. Кліент, які падключаецца, трапляе ў той жа сегмент, што і працоўная станцыя, пад правілы міжсеткавага экрана гэтага сегмента.

Менавіта апошні пункт варта ўзважыць. Уласныя парты працоўнай станцыі, агульныя рэсурсы і браўзер цяпер даступныя ўсяму, хто валодае ўліковым запісам, а запіс — гэта лакальны запіс Windows з усім іншым, што ён ужо ўмее.

Тры ўмовы, якія вырашаюць справу

Спытайце, колькі павінен доўжыцца доступ, колькім людзям ён патрэбны і ці можа сетка наогул перадаць гэты пратакол.

Калі адказ — адна машына, адзін чалавек і некалькі гадзін у сетцы, дзе вы кантралюеце маршрутызатар, убудаваны слухач суразмерны. Калі доступ павінен перажыць перазагрузкі на працягу месяца, абслугоўваць пяць калег з асобнымі ўліковымі данымі або працаваць з мабільнай сеткі, якая не можа прымаць уваходныя злучэнні, — не. Калі пратакол патрабуе менавіта пратаколу IP 47, а не порта, сетка можа адмовіцца перадаваць яго незалежна ад таго, што падтрымлівае Windows.

Гэтыя тры адказы за адзін праход здымаюць большасць спрэчкі. Астатняе — дэталі рэалізацыі.

Дзе выйграе маршрутызатар як канчатковы пункт

Тунэль, які завяршаецца на маршрутызатары, — натуральны выбар для пастаяннага доступу. Маршрутызатар ужо заўсёды ўключаны, ён можа несці тунэль паміж пляцоўкамі да іншага офіса, а кліентам не трэба нічога ўсталёўваць, калі маршрутызатар прапануе пратакол, які яны выкарыстоўваюць.

Абмежаванне — праграмнае забеспячэнне. Спажывецкія маршрутызатары часта падтрымліваюць толькі частку таго, што дазваляе спецыфікацыя, і мадэль, якая рэкламуе падтрымку VPN, можа не мець менавіта таго пратаколу, на які вы разлічвалі. Праверце спіс функцый усталяванага праграмнага забеспячэння, а не сямейства прадуктаў.

Дзе выйграе хост OpenVPN

Сервер OpenVPN на невялікай машыне, якая заўсёды ўключана, падыходзіць для змешаных кліентаў, некалькіх карыстальнікаў з асобнымі ўліковымі данымі і сетак, дзе адзіны прыдатны для зыходу порт — гэта розніца паміж працай і блакаваннем. Ён выдае профіль для кожнага кліента, працуе на ўсіх асноўных платформах і з боку кліента паводзіць сябе як звычайная праграма зыходнага злучэння.

Ён таксама патрабуе ўладальніка. Хтосьці павінен абнаўляць сертыфікаты, устанаўліваць абнаўленні хоста і чытаць журнал, калі кліент не можа падключыцца. Без гэтага чалавека самастойна размешчаны пункт ціха заняпадае да таго дня, калі гэта стане важным.

Праверце шлях, перш чым абяцаць доступ

Самая частая прычына няўдачы слухача Windows — не аўтэнтыфікацыя. Гэта шлях: PPTP патрабуе ўваходны TCP 1723 і GRE, а гэта пратакол 47, а не порт, і многія маршрутызатары перасылаюць толькі парты. Некаторыя сеткі доступу наогул не дазваляюць уваходных злучэнняў. Гэты адзін факт выключае ўбудаваны слухач у большай колькасці сетак, чым любая налада Windows.

Праверце шлях перад наладай уліковых запісаў, каб няўдача мела аднаго кандыдата, а не трох:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Закрыты порт у першым радку — праблема перасылкі або аператара, а не праблема Windows. Трэці радок — гэта праверка, якую вы зробіце пасля выбару OpenVPN, дзе адзіны порт UDP, што слухае, замяняе ўсё пытанне пра пратакол.

Якую б опцыю вы ні выбралі, не пакідайце PPTP адкрытым у інтэрнэт як доўгатэрміновае рашэнне; яго аўтэнтыфікацыя і шыфраванне састарэлі. І калі рэальная патрэба — адна вэб-праграма, зваротны проксі — меншы адказ, чым любы VPN.