OpenVPN Access Server versus Community: què es trasllada realment

Els perfils es mouen; les llistes d’usuaris es queden enrere. Un equip que canvia entre Access Server i Community Edition troba aquesta llacuna una hora després del canvi, quan el seu primer client s’autentica i després no té política de grup, ni ruta per usuari, ni restabliment de contrasenya d’autoservei. Tots dos productes parlen el mateix protocol i accepten el mateix client, i per això mateix la llacuna passa desapercebuda durant la planificació. El que realment trieu és la capa de gestió i les persones que en són responsables.

Tracteu la decisió com una qüestió d’inventari, no com una graella de funcions. Pregunteu qui crea usuaris, qui revoca certificats i qui respon la trucada a les 02:00.

Per què el fitxer .ovpn no porta la configuració

Un perfil .ovpn descriu la relació d’un client amb un servidor: l’amfitrió remot, el protocol, la CA, un certificat i una clau de client, i qualsevol material tls-crypt en línia. Deixeu aquell fitxer en una instal·lació nova i el client encara completa l’encaixada de mans, així que la migració sembla acabada. No hi ha res que enumeri els usuaris, els seus grups, les seves rutes estàtiques ni la política que decidia a qui es permetia connectar-se. Aquests registres viuen a l’emmagatzematge propi del servidor, i els dos productes els guarden amb formes diferents.

A Community Edition els equivalents són fitxers que manteniu vosaltres: entrades client-config-dir amb opcions per client com ifconfig-push i iroute, una CRL per a les revocacions i la clau tls-crypt. Access Server guarda els mateixos conceptes a la seva pròpia base de dades i els exposa mitjançant una consola web i l’eina de línia d’ordres sacli. Els conceptes es corresponen un a un; els artefactes no es mouen gens.

Els perfils també introdueixen d’amagat comportaments que ningú no nota fins que canvien. Un client amb redirect-gateway def1 envia tota la navegació pel servidor; moveu-lo a una instal·lació sense aquesta línia i la queixa és que s’ha trencat internet. Una CA que no coincideix o una configuració incorrecta de remote-cert-tls falla sorollosament, que és el bon resultat. Una clau tls-crypt que falta falla com un temps d’espera silenciós, que no ho és.

Què posseeix la capa de gestió

Compteu el que no és protocol: creació de comptes, restabliment de contrasenyes, assignació de grups, inscripció a MFA, drets de connexió i el registre d’auditoria que respon qui es va connectar i quan. Community Edition no n’ofereix cap directament. Trieu un backend d’autenticació, connecteu PAM, LDAP o RADIUS mitjançant un connector o auth-user-pass-verify, i manteníu la resta vosaltres mateixos. Access Server inclou un portal d’usuari, una consola d’administració i integracions amb proveïdors d’identitat habituals. Cap de les dues disposicions no és més segura per defecte, perquè la política encara l’ha d’escriure algú que conegui la xarxa.

Els drets de connexió són la diferència operativa més punyent. Access Server es llicencia per nombre de connexions simultànies i aplica aquest nombre per programari. A Community Edition, un límit global és una sola línia max-clients, mentre que qualsevol cosa per usuari o per grup significa més feina amb client-config-dir i la vostra pròpia aplicació. Un equip sense ganes d’aquest manteniment compra exactament això quan paga el producte comercial.

Llicències i suport: la partida que ningú no pressuposta

Community Edition és gratuït i de codi obert. Access Server és comercial, i el seu nivell gratuït ha cobert històricament un nombre reduït de connexions simultànies, amb una llicència de pagament per sobre. Qualsevol xifra citada en una resposta antiga d’un fòrum ja és obsoleta, així que comproveu les condicions actuals del proveïdor abans de calcular el cost del projecte. La comparació honesta suma les hores dedicades a construir la gestió d’usuaris, MFA i monitoratge a la banda comunitària a la línia de llicència de la banda comercial.

La propietat del suport segueix la mateixa divisió. Amb Community Edition sou la via d’escalat per a cada client estrany i cada actualització del nucli. Amb Access Server teniu un proveïdor a qui trucar, i hereteu el seu ritme de versions tant si encaixa amb la vostra finestra de canvis com si no.

Comprovacions que cal fer abans del canvi

Inventarieu què guarda realment el servidor en funcionament abans de fer el canvi en qualsevol direcció. A la banda d’Access Server, exporteu la llista d’usuaris i les assignacions de grup i anoteu quins comptes depenen de MFA. A la banda de Community Edition, llisteu els certificats emesos, la CRL i cada fitxer sota client-config-dir. Compareu les dues llistes línia per línia, perquè la diferència entre elles és la feina de migració.

Proveu clients representatius mentre el servei antic encara funciona. openvpn --config client.ovpn --verb 4 en primer pla imprimeix l’encaixada de mans, les rutes enviades i les opcions de DNS, i openssl x509 -in client.crt -noout -subject -enddate mostra quin certificat presenta realment el client. Un client que es connecta però no arriba a un amfitrió intern té una llacuna de ruta o d’iroute, no un fracàs d’autenticació.

Mantingueu viu el camí de recuperació antic fins que el substitut superi una prova d’accés denegat a més d’una d’exitosa. Escriviu el mapa final en una sola pàgina: cada requisit, l’artefacte que el satisfà avui i l’artefacte que el satisfarà després.