Използваме OpenVPN: протокол, машина или приложение? Какво да питаме вместо това

Изречението „използваме OpenVPN“ идва в тикети, форми за доставки и документи за нови служители и във всяка от тях отговаря на различен въпрос. Понякога назовава протокол за пренос, понякога софтуера на шлюз, а понякога приложението, което новият служител трябва да инсталира. Тези три факта водят до различни следващи стъпки и да попиташ кой от тях е предвиден отнема по-малко време от това да гадаеш. Останалото от разследването следва от този отговор.

Започнете като отделите ролята от марката, защото марката покрива и трите.

Името покрива три роли, които се провалят по различен начин

Като протокол OpenVPN описва как съвместими партньори установяват тунел и защитават това, което минава през него. Като софтуер това е реализация, която говори този протокол в роля на клиент или сървър. Като клиент това е приложение, което някой инсталира, със своя версия, формат на профила и особености на платформата. Отказ в една роля не означава отказ в друга, затова „OpenVPN не работи“ се нуждае от подлог.

Питайте какво вижда подателят: файл с профил, инсталирана програма или шлюз, който администрира. Тази единственна подробност ви казва дали следващата стъпка е клиентски лог, въпрос за пакета или проверка на слушателя от страната на сървъра.

OpenVPN 2 и OpenVPN 3 не са двойка за обновяване

OpenVPN 2.x работи и в сървърна, и в клиентска роля и точно него повечето внедрявания на шлюзове още използват. OpenVPN 3 е отделна реализация, ориентирана към клиента, със собствена конфигурация и модел на сесията, а не следващото издание, което инсталирате върху сървър 2.x. OpenVPN Connect е клиентско приложение, изградено върху машината OpenVPN 3. Инсталирането на което и да е от тях не създава услуга за изход към интернет; изходът е това, което операторът е конфигурирал.

Съвместимостта на ниво протокол не се разпростира върху директивите на профила, затова профил, който се импортира чисто, може все още да се провали на директива, която клиентът не реализира.

Транспортът не е приложението вътре в него

Външната връзка използва транспорт като UDP или TCP, за да достигне конфигуриран слушател, и всичко, което тунелът носи, пътува вътре в него. Уеб заявка, направена през VPN, не се нуждае от собствен OpenVPN слушател и не се превръща в OpenVPN пакет по мрежата. В режим TLS контролният канал договаря ключов материал, докато каналът за данни защитава полезния товар, и това е разделение, което си заслужава да пазите правилно, когато четете логове.

Объркването на слоевете поражда заявки като отваряне на порт за сайт, който вече работи през тунела. Портът принадлежи на външната връзка, не на приложението.

Какво може и какво не може да обещае един профил

Профилът казва на един клиент как да достигне една услуга: крайна точка, транспорт, материал за самоличност и често някои предпочитания за маршрутизация и DNS. Той не казва нищо за това кой управлява тази услуга или дали акаунтът е оторизиран. Маршрутите, настройките на резолвера, правилата за препращане и политиката за достъп решават до какво всъщност достига сесията. Профил, който се импортира успешно, е началото на работеща връзка, а не доказателство за нея.

Когато някой пита дали ресурс е достъпен през VPN, отговорът зависи от политиката на сървъра, а не от конфигурационния файл на клиента.

Питайте за нещото, което може да бъде осигурено

Превърнете широкото име в три конкретики: клиентът и неговата версия, оторизираният профил за този клиент и ресурсът, до който човекът трябва да достигне. С тях осигуряването е конкретна задача. Без тях всеки отговор е догадка за това кой OpenVPN е имал предвид въпросът.

Запишете отговора в самата заявка. Следващият тикет ще зададе същия въпрос по същия двусмислен начин.