OpenVPN ili IKEv2: četiri provjere prije nego što odaberete protokol

Izbor između OpenVPN-a i IKEv2 obično se raspravlja kao pitanje protokola, a takav okvir traći odluku. Ono što je odlučuje jest da li vaš poslužitelj i vaši uređaji podržavaju isti cjeloviti profil i da li taj profil preživljava način na koji se krećete između mreža. Dva steka ne prevode se jedan u drugi: OVPN datoteka nije IKEv2 profil s drugačijom sintaksom. Četiri provjere, izvedene po redu, odgovaraju na pitanje brže od bilo koje tablice mogućnosti.

Nedostatak klijenta završava raspravu

Windows i macOS dolaze s IKEv2 klijentom, pa IKEv2 profil tamo ne košta ništa dodatno za postavljanje i nasljeđuje opcije dodjele koje operacijski sustav već nudi. OpenVPN na istim strojevima znači klijenta treće strane koji treba instalirati, ažurirati i podržavati, a taj klijent mora prihvatiti svaku opciju koju profil koristi. Prebrojite platforme koje morate pokriti prije nego što usporedite bilo što drugo, jer platforma bez ispravnog klijenta nije nikakva točka usporedbe.

Na Windowsu jedna naredba navodi profile koji već postoje i pokazuje kojeg je tipa svaki. Naziv koji ispiše naziv je koji koriste kasnije provjere.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Zahtjev za instalacijom klijenta pravi je odgovor za stupac OpenVPN na tim platformama i to je zadatak postavljanja, a ne ograničenje protokola. Nijedan raspored ne uklanja provjere povjerenja, provjeru identiteta ni održavanje. Pitajte kako se profili distribuiraju, kako se obnavljaju vjerodajnice i kako se uklanja izgubljeni uređaj prije nego što se obvežete. Jednostavna instalacija ipak može skrivati postupak oporavka koji nitko ne želi izvoditi vikendom.

Mobilnost je zajednička postavka, a ne obećanje protokola

IKEv2 može koristiti MOBIKE kada ga obje strane podržavaju i omoguće, što klijentu omogućuje da zadrži tunel dok mu se adresa mijenja. RFC 4555 definira proširenje i uvjetna formulacija je važna: poslužitelj koji zanemari tu mogućnost umjesto toga ponovno pregovara. Rezultat može izgledati jednako pri prijenosu datoteke, a posve drugačije tijekom aktivnog poziva.

Ispitajte prijelaz koji vam je stvarno važan, uz nešto pokrenuto što možete promatrati. Neka ping -t <internal-host> nastavi raditi na Windowsu ili obični ping drugdje, zatim prijeđite s Wi-Fi na mobilnu mrežu i promatrajte prekide. Neuspjeh MOBIKE-a u dnevniku klijenta pojavljuje se kao potpuna ponovna autentifikacija, a ne kao tiha obnova adrese. Mjerite preživljava li tunel promjenu, a ne oglašava li protokol podršku.

OpenVPN klijenti se ponovno povezuju prema vlastitom ponašanju platforme i timerima profila, pa isti test može dati drugačiji oblik prekida. Usporedite događaj koji je važan vašim korisnicima, a ne oznaku na protokolu.

Vjerodajnice pripadaju usluzi, ne steku

Certifikati i drugi načini prijave pripadaju usluzi koja prekida vezu. Zahtjev za lozinkom u jednom klijentu ne govori ništa o kompatibilnosti s drugim, a profil koji radi prema drugom pristupniku ne govori ništa o ovome. Očuvajte pravila identiteta poslužitelja netaknutima dok uspoređujete dva steka. Promjena protokola prije nego što ste utvrdili kvar obično stvara drugi nekompatibilni profil.

Pregledajte vjerodajnicu koju će klijent predočiti prije nego što okrivite bilo koji protokol, jer istekao ili pogrešno izdan certifikat ne uspijeva na isti način kod oba. Izlaz u nastavku prikazuje subjekt, izdavatelja i datume valjanosti bez čitanja privatnog ključa.

openssl x509 -in client.crt -noout -subject -issuer -dates

Za poslovnu vezu upotrijebite metodu koju tvrtka objavljuje i prestanite usporedbu tretirati kao eksperiment. Ako te dvije uspoređujete za sebe, prvo provjerite završavaju li obje opcije na jednom pristupniku, jer ta pojedinost odlučuje koliko se vašeg rezultata odnosi na protokol. Odbijanje koje imenuje vjerodajnicu problem je s vjerodajnicom i nikakva promjena protokola ga neće popraviti.

Provjerite što tunel zapravo usmjerava

Nakon povezivanja potvrdite da ruta koja vam treba postoji i da se nazivi razrješavaju. Profil koji postoji za unutarnje resurse može po dizajnu ostaviti obično pregledavanje na lokalnom putu i to je odluka politike, a ne kvar. Važno je jesu li odredišta koja vaš tim koristi dostupna kroz tunel.

Dvije naredbe pokrivaju rutu i pretraživanje naziva na Windowsu. Linux ekvivalenti su ip route show default i resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Tunel koji se podigne i ne usmjerava ništa korisno čest je ishod kada je profil kopiran između usluga, a generički test povezivosti to neće pokazati jer je sučelje aktivno. Ispitajte resurs koji vaši korisnici prvi otvore, a ne javnu adresu do koje bilo koji put može doći. Ako se naziv razriješi u javnu adresu dok ruta pokazuje u tunel, DNS odgovor i ruta pripadaju različitim odlukama i oboje treba popraviti.

Odmjerite održavanje nakon provjera

Nijedan protokol nije održiviji u apstraktnom smislu. Održavanje ovisi o tome ko upravlja pristupnikom, kako profili stižu na uređaje i koliko brzo izgubljeni uređaj gubi pristup. Jednostavan klijent na krajnjoj točki može stajati pred poslužiteljem koji je teže upravljati, a obrnuto se također događa. Pitajte koji od dvaju vaš tim može održavati u radu nakon što osoba koja ga je izgradila ode.

Odaberite podržanu vezu koja pokriva posao, zatim je ispitajte prema pristupu koji vam stvarno treba, a ne prema popisu značajki. Zabilježite na kojem pristupniku završava svaka opcija, jer dva različita pristupnika čine usporedbu jednako pitanjem ruta koliko i protokola. Ponovite četiri provjere na uređaju koji ćete stvarno nositi i zadržite profil koji na njemu prolazi.