Koristimo OpenVPN: protokol, mašina ili aplikacija? Šta pitati umjesto toga

Rečenica „koristimo OpenVPN“ dolazi u tiketima, obrascima za nabavku i dokumentaciji za nove zaposlene, a u svakom od njih odgovara na drugo pitanje. Ponekad označava protokol prijenosa, ponekad softver na mrežnom prolazu, a ponekad aplikaciju koju novi zaposleni treba instalirati. Te tri činjenice vode ka različitim sljedećim koracima, a pitati koja je od njih mišljena traje kraće od nagađanja. Ostatak istrage slijedi iz tog odgovora.

Počnite odvajanjem uloge od brenda, jer brend pokriva sve tri.

Naziv pokriva tri uloge koje zataje na različite načine

Kao protokol OpenVPN opisuje kako kompatibilni partneri uspostavljaju tunel i štite ono što kroz njega prolazi. Kao softver to je implementacija koja govori taj protokol u ulozi klijenta ili servera. Kao klijent to je aplikacija koju neko instalira, sa vlastitom verzijom, formatom profila i osobenostima platforme. Kvar u jednoj ulozi ne znači kvar u drugoj, zato rečenica „OpenVPN ne radi“ traži subjekat.

Pitajte šta prijavljivač može vidjeti: datoteku profila, instaliran program ili prolaz kojim upravlja. Taj jedan detalj kaže vam je li sljedeći korak klijentski dnevnik, pitanje o paketu ili provjera slušača na strani servera.

OpenVPN 2 i OpenVPN 3 nisu par za nadogradnju

OpenVPN 2.x radi u serverskoj i klijentskoj ulozi i upravo njega većina postavljanja prolaza još koristi. OpenVPN 3 je zasebna implementacija okrenuta klijentu, sa vlastitom konfiguracijom i modelom sesije, a ne sljedeće izdanje koje instalirate preko 2.x servera. OpenVPN Connect je klijentska aplikacija izgrađena na OpenVPN 3 mašini. Instalacija bilo koje od njih ne stvara uslugu izlaza na internet; izlaz je ono što je operater konfigurisao.

Kompatibilnost na nivou protokola ne proteže se na direktive profila, pa profil koji se čisto uveze ipak može zatajiti na direktivi koju klijent ne implementira.

Transport nije aplikacija unutar njega

Vanjska veza koristi transport poput UDP ili TCP da dosegne konfigurisanog slušača, a sve što tunel nosi putuje unutar njega. Web zahtjev upućen kroz VPN ne treba vlastiti OpenVPN slušač i ne postaje OpenVPN paket na mreži. U TLS režimu kontrolni kanal dogovara ključni materijal dok podatkovni kanal štiti korisni teret, a to je razdvajanje koje vrijedi držati ispravno kad čitate dnevnike.

Miješanje slojeva stvara zahtjeve poput otvaranja porta za web stranicu koja već radi kroz tunel. Port pripada vanjskoj vezi, ne aplikaciji.

Šta profil može obećati, a šta ne

Profil govori jednom klijentu kako da dosegne jednu uslugu: krajnju tačku, transport, identitetski materijal i često neke preferencije rutiranja i DNS-a. On ne govori ništa o tome ko upravlja tom uslugom ili je li račun ovlašten. Rute, postavke razrješivača, pravila prosljeđivanja i politika pristupa odlučuju šta sesija zapravo dosegne. Profil koji se uspješno uveze početak je radne veze, a ne dokaz za nju.

Kad neko pita je li resurs dostupan kroz VPN, odgovor zavisi od politike servera, a ne od konfiguracijske datoteke klijenta.

Tražite ono što se može osigurati

Pretvorite široki naziv u tri pojedinosti: klijent i njegova verzija, ovlašteni profil za taj klijent i resurs do kojeg osoba treba doći. S njima je osiguravanje konkretan zadatak. Bez njih je svaki odgovor nagađanje o tome koji je OpenVPN pitanje mislilo.

Zapišite odgovor u samom zahtjevu. Sljedeći tiket postavit će isto pitanje na isti dvosmislen način.