OpenVPN Access Server срещу Community: какво наистина се пренася

Профилите се местят; списъците с потребители остават назад. Екип, който преминава между Access Server и Community Edition, среща тази разлика час след превключването, когато първият му клиент се удостовери и след това няма групова политика, няма маршрут за потребителя и няма самостоятелно нулиране на парола. И двата продукта говорят на един и същ протокол и приемат един и същ клиент и точно затова разликата остава невидима по време на планирането. Това, което всъщност избирате, е слоят за управление и хората, които го притежават.

Третирайте решението като въпрос на инвентаризация, а не като таблица с функции. Питайте кой създава потребители, кой отнема сертификати и кой отговаря на повикването в 02:00.

Защо файлът .ovpn не носи настройката

Профилът .ovpn описва връзката на един клиент с един сървър: отдалечения хост, протокола, CA, клиентски сертификат и ключ и всеки вграден материал tls-crypt. Пуснете този файл в нова инсталация и клиентът пак завършва ръкостискане, така че миграцията изглежда готова. Нищо в него не изброява потребителите, техните групи, статичните им маршрути или политиката, която е решавала кой изобщо има право да се свързва. Тези записи живеят в собственото хранилище на сървъра и двата продукта ги пазят в различни форми.

В Community Edition еквивалентите са файлове, които вие пазите: записи client-config-dir с опции за всеки клиент като ifconfig-push и iroute, CRL за отнемания и ключът tls-crypt. Access Server пази същите понятия в собствената си база данни и ги показва чрез уеб конзола и инструмента за команден ред sacli. Понятията се съпоставят едно към едно; артефактите изобщо не се местят.

Профилите също внасят скришом поведение, което никой не забелязва, докато не се промени. Клиент с redirect-gateway def1 изпраща целия сърфиращ трафик през сървъра; преместете го в инсталация без този ред и оплакването ще е, че интернетът се е счупил. Несъответствие на CA или грешна настройка remote-cert-tls се проваля шумно, което е добрият изход. Липсващ ключ tls-crypt се проваля като тихо изчакване, което не е.

Какво притежава слоят за управление

Пребройте онова, което не е протокол: създаване на акаунти, нулиране на пароли, разпределяне по групи, записване за MFA, права за свързване и одитната следа, която отговаря кой кога се е свързал. Community Edition не предоставя нищо от това директно. Вие избирате бекенд за удостоверяване, включвате PAM, LDAP или RADIUS чрез плъгин или auth-user-pass-verify и поддържате останалото сами. Access Server доставя потребителски портал, административна конзола и интеграции с популярни доставчици на идентичност. Нито една от двете подредби не е по-сигурна по подразбиране, защото политиката все още трябва да бъде написана от човек, който познава мрежата.

Правата за свързване са най-осезаемата оперативна разлика. Access Server се лицензира по брой едновременни връзки и налага този брой програмно. В Community Edition глобалният лимит е един ред max-clients, докато всичко за отделен потребител или група означава повече работа с client-config-dir и собствено прилагане. Екип без апетит за тази поддръжка купува точно това, когато плаща за комерсиалния продукт.

Лицензиране и поддръжка: редът, който никой не бюджетира

Community Edition е безплатен и с отворен код. Access Server е комерсиален и безплатното му ниво исторически е покривало малък брой едновременни връзки, а над това се плаща лиценз. Всяка цифра от стар отговор във форум вече е остаряла, затова проверете текущите условия на доставчика, преди да изчислявате проекта. Честното сравнение добавя часовете за изграждане на управление на потребители, MFA и мониторинг от страна на общността към реда за лиценз от комерсиалната страна.

Собствеността върху поддръжката следва същото разделение. С Community Edition вие сте пътят за ескалация за всеки странен клиент и всяко обновяване на ядрото. С Access Server имате доставчик, на когото да се обадите, и наследявате неговия ритъм на издания, независимо дали пасва на вашия прозорец за промени.

Проверки, които да се направят преди превключването

Направете инвентаризация на това, което работещият сървър всъщност пази, преди превключване в която и да е посока. От страна на Access Server експортирайте списъка с потребители и разпределението по групи и отбележете кои акаунти разчитат на MFA. От страна на Community Edition избройте издадените сертификати, CRL и всеки файл под client-config-dir. Сравнете двата списъка ред по ред, защото разликата между тях е работата по миграцията.

Тествайте представителни клиенти, докато старата услуга още работи. openvpn --config client.ovpn --verb 4 на преден план отпечатва ръкостискането, изпратените маршрути и DNS опциите, а openssl x509 -in client.crt -noout -subject -enddate показва кой сертификат клиентът наистина представя. Клиент, който се свързва, но не достига до вътрешен хост, има пропуск в маршрут или iroute, а не отказ на удостоверяването.

Пазете стария път за възстановяване жив, докато замяната не премине тест за отказан достъп наред с успешен такъв. Запишете крайната карта на една страница: всяко изискване, артефактът, който го удовлетворява днес, и артефактът, който ще го удовлетвори след това.