OpenVPN или IKEv2: четири проверки, преди да изберете протокол

Изборът между OpenVPN и IKEv2 обикновено се обсъжда като въпрос за протокола и тази рамка пропилява решението. Решаващо е дали вашият сървър и вашите устройства поддържат един и същ пълен профил и дали този профил издържа на начина, по който се движите между мрежи. Двата стека не се превеждат един в друг: OVPN файл не е IKEv2 профил с различен синтаксис. Четири проверки, изпълнени поред, отговарят на въпроса по-бързо от всяка таблица с функции.

Липсващ клиент слага край на обсъждането

Windows и macOS идват с IKEv2 клиент, така че IKEv2 профил там не струва нищо допълнително за внедряване и наследява опциите за предоставяне, които операционната система вече предлага. OpenVPN на същите машини означава клиент от трета страна, който да се инсталира, обновява и поддържа, и този клиент трябва да приема всяка опция, която профилът използва. Преброете платформите, които трябва да покриете, преди да сравнявате каквото и да е друго, защото платформа без работещ клиент изобщо не е точка за сравнение.

В Windows една команда изброява вече съществуващите профили и показва какъв тип е всеки. Името, което отпечатва, е името, което използват следващите проверки.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Подканата да инсталирате клиент е истинският отговор за колоната OpenVPN на тези платформи и тя е задача по внедряване, а не ограничение на протокола. Нито една от двете подредби не премахва проверките за доверие, удостоверяването на самоличността или поддръжката. Питайте как се разпространяват профилите, как се подновяват идентификационните данни и как се премахва изгубено устройство, преди да се ангажирате. Простата инсталация все още може да крие процес по възстановяване, който никой не иска да изпълнява през уикенда.

Мобилността е съвместна настройка, а не обещание на протокола

IKEv2 може да използва MOBIKE, когато и двете страни го поддържат и включат, което позволява на клиента да запази тунела си, докато адресът му се променя. RFC 4555 дефинира разширението и условната формулировка е важна: сървър, който игнорира възможността, вместо това преговаря наново. Резултатът може да изглежда еднакъв при пренос на файл и много различен при активен разговор.

Тествайте прехода, който наистина ви интересува, с нещо работещо, което можете да наблюдавате. Оставете ping -t <internal-host> да работи в Windows или обикновения ping другаде, след което преминете от Wi-Fi към мобилна мрежа и наблюдавайте за прекъсвания. Провал на MOBIKE се появява в журнала на клиента като пълно повторно удостоверяване, а не като тихо обновяване на адреса. Мерите дали тунелът издържа на промяната, а не дали протоколът рекламира поддръжка.

OpenVPN клиентите се свързват отново според собственото си поведение на платформата и таймерите на профила, така че същият тест може да даде различна форма на прекъсване. Сравнявайте събитието, което е важно за вашите потребители, а не етикета върху протокола.

Идентификационните данни принадлежат на услугата, не на стека

Сертификатите и другите начини за вход принадлежат на услугата, която прекратява връзката. Заявка за парола в един клиент не казва нищо за съвместимостта с друг, а профил, който работи срещу различен шлюз, не казва нищо за този. Пазете правилата за идентичност на сървъра непокътнати, докато сравнявате двата стека. Смяната на протокола, преди да сте установили повредата, обикновено създава втори несъвместим профил.

Прегледайте идентификационните данни, които клиентът ще представи, преди да обвинявате някой от протоколите, защото изтекъл или неправилно издаден сертификат се проваля по един и същ начин при двата. Изходът по-долу показва субект, издател и дати на валидност, без да чете частния ключ.

openssl x509 -in client.crt -noout -subject -issuer -dates

За фирмена връзка използвайте метода, който фирмата публикува, и спрете да третирате сравнението като експеримент. Ако сравнявате двете за себе си, първо проверете дали и двете опции завършват на един шлюз, защото тази единствена подробност решава колко от резултата ви е за протокола. Отказ, който посочва идентификационните данни, е проблем с идентификационните данни и никаква смяна на протокола няма да го поправи.

Проверете какво всъщност маршрутизира тунелът

След свързване потвърдете, че нужният маршрут съществува и че имената се разрешават. Профил, който съществува за вътрешни ресурси, може по замисъл да остави обикновеното сърфиране по локалния път и това е решение на политиката, а не дефект. Важно е дали дестинациите, които екипът ви използва, са достъпни през тунела.

Две команди покриват маршрута и търсенето на имена в Windows. Еквивалентите в Linux са ip route show default и resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Тунел, който се вдига и не маршрутизира нищо полезно, е чест резултат, когато профил е копиран между услуги, и общ тест за свързаност няма да го покаже, защото интерфейсът е активен. Тествайте ресурса, който потребителите ви отварят първо, а не публичен адрес, до който всеки път може да стигне. Ако името се разрешава до публичен адрес, докато маршрутът сочи в тунела, DNS отговорът и маршрутът принадлежат на различни решения и двете трябва да се поправят.

Претеглете поддръжката след проверките

Нито един от протоколите не е по-поддържаем в абстрактен смисъл. Поддръжката зависи от това кой управлява шлюза, как профилите стигат до устройствата и колко бързо изгубено устройство губи достъп. Прост клиент на крайна точка може да стои пред по-труден за експлоатация сървър и обратното също се случва. Питайте кой от двата екипът ви може да поддържа работещ, след като човекът, който го е изградил, си тръгне.

Изберете поддържаната връзка, която покрива работата, след което я тествайте срещу достъпа, който наистина ви е нужен, а не срещу списък с функции. Записвайте на кой шлюз завършва всяка опция, защото два различни шлюза правят сравнението толкова за маршрути, колкото и за протоколи. Повторете четирите проверки на устройството, което наистина ще носите, и запазете профила, който минава на него.