Входяща VPN връзка в Windows или хост с OpenVPN: избор за пет минути

Windows може да приема VPN връзка, без да е инсталирано нищо освен операционната система, и това наистина помага, когато две ваши машини се нуждаят от тунел за един следобед. Остава полезно приблизително толкова дълго. Вграденият слушател има фиксирано меню от протоколи, никаква политика за отделния клиент и зависимост от настолен компютър, който някой може да затвори. Изборът между него, крайна точка на маршрутизатор и хост с OpenVPN се свежда до три условия, а не до предпочитание.

Какво представлява вграденият слушател

Съветникът за входяща връзка превръща работна станция в малка крайна точка за отдалечен достъп. Избирате кои локални профили могат да се свързват, как се раздават адреси и кой протокол е включен: PPTP, плюс L2TP/IPsec или SSTP там, където изданието и работата със сертификати ги поддържат.

Това, което не представлява, е слой за политики. Няма задаване на маршрути за отделен потребител, няма разделен тунел, наложен от сървъра, и няма отделяне между тунела и собствената мрежова идентичност на работната станция. Клиент, който се свърже, попада в същия сегмент като работната станция, под правилата на защитната стена за този сегмент.

Точно последната точка трябва да се претегли. Собствените портове, споделени ресурси и браузър на работната станция вече са достъпни за всеки, който държи профила, а профилът е локален профил на Windows с всичко останало, което вече може.

Три условия, които решават въпроса

Питайте колко трябва да продължи достъпът, на колко хора е нужен и дали мрежата изобщо може да достави протокола.

Ако отговорът е една машина, един човек и няколко часа в мрежа, в която вие контролирате маршрутизатора, вграденият слушател е съразмерен. Ако достъпът трябва да преживее рестартирания за месец, да обслужва петима колеги с отделни удостоверения или да работи от мобилна мрежа, която не може да приема входящи връзки, той не е подходящ. Ако протоколът изисква IP протокол 47, а не порт, мрежата може да откаже да го достави, независимо какво поддържа Windows.

Тези три отговора елиминират по-голямата част от спора с едно минаване. Останалото е подробност по изпълнението.

Къде печели маршрутизаторът като крайна точка

Тунел, който завършва на маршрутизатора, е естественото решение за постоянен достъп. Маршрутизаторът вече е винаги включен, може да носи тунел между сайтове до друг офис, а клиентите не се нуждаят от нищо инсталирано, ако маршрутизаторът предлага протокола, който използват.

Ограничението е фърмуерът. Потребителските маршрутизатори често поддържат само част от това, което позволява спецификацията, и модел, който рекламира поддръжка на VPN, може да не включва точно този протокол, който сте планирали. Проверете списъка с функции на инсталирания фърмуер, а не на продуктовата фамилия.

Къде печели хост с OpenVPN

Сървър с OpenVPN на малка машина, която работи непрекъснато, пасва на смесени клиенти, на няколко потребители с отделни удостоверения и на мрежи, в които един подходящ за изходящ трафик порт е разликата между работа и блокиране. Той издава профил за всеки клиент, работи на всяка основна платформа и от страна на клиента се държи като обикновено изходящо приложение.

Той също изисква собственик. Някой трябва да подновява сертификатите, да прилага обновления на хоста и да чете журнала, когато клиент не може да се свърже. Без този човек самостоятелно хостваната крайна точка тихо запада до деня, в който има значение.

Проверете пътя, преди да обещаете достъп

Най-честата причина слушател на Windows да се провали не е удостоверяването. Причината е пътят: PPTP изисква входящ TCP 1723 и GRE, което е протокол 47, а не порт, и много маршрутизатори пренасочват само портове. Някои мрежи за достъп изобщо не разрешават входящи връзки. Този един факт изключва вградения слушател в повече мрежи, отколкото която и да е настройка на Windows.

Тествайте пътя, преди да настройвате профили, така че провалът да има един кандидат, а не три:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Затворен порт на първия ред е проблем с пренасочването или с оператора, а не проблем на Windows. Третият ред е проверката, която бихте направили след избор на OpenVPN, където един слушащ UDP порт заменя целия въпрос за протокола.

Която и опция да изберете, не оставяйте PPTP обърнат към интернет като дългосрочно решение; удостоверяването и криптирането му са остарели. А ако реалната нужда е едно уеб приложение, обратният прокси е по-малък отговор от всяка VPN.