Fem servir OpenVPN: protocol, motor o aplicació? Què cal preguntar en lloc d’això

La frase «fem servir OpenVPN» arriba en tiquets, formularis de compra i documents d’acollida, i a cada un respon una pregunta diferent. De vegades anomena un protocol de transport, de vegades el programari d’una passarel·la i de vegades l’aplicació que ha d’instal·lar una persona nova. Aquests tres fets porten a passos següents diferents, i preguntar quin és el que es vol dir costa menys temps que endevinar-lo. La resta de la investigació es desprèn d’aquesta resposta.

Comenceu separant el paper de la marca, perquè la marca cobreix els tres.

El nom cobreix tres papers que fallen de maneres diferents

Com a protocol, OpenVPN descriu com els iguals compatibles estableixen un túnel i protegeixen el que hi passa. Com a programari, és una implementació que parla aquest protocol en paper de client o de servidor. Com a client, és una aplicació que algú instal·la, amb la seva versió, el seu format de perfil i les seves peculiaritats de plataforma. Una fallada en un paper no implica una fallada en un altre, i per això «OpenVPN no funciona» necessita un subjecte.

Pregunteu què pot veure qui ho notifica: un fitxer de perfil, un programa instal·lat o una passarel·la que administra. Aquest sol detall us diu si el pas següent és un registre del client, una pregunta sobre el paquet o una comprovació de l’oient al costat del servidor.

OpenVPN 2 i OpenVPN 3 no són una parella d’actualització

OpenVPN 2.x funciona tant en paper de servidor com de client, i és el que encara fan servir la majoria de desplegaments de passarel·la. OpenVPN 3 és una implementació separada orientada al client, amb la seva pròpia configuració i el seu model de sessió, no la versió següent que instal·leu sobre un servidor 2.x. OpenVPN Connect és una aplicació de client construïda sobre el motor OpenVPN 3. Instal·lar qualsevol d’elles no crea un servei de sortida a internet; la sortida és el que hagi configurat l’operador.

La compatibilitat a nivell de protocol no s’estén a les directrius del perfil, així que un perfil que s’importa net pot fallar igualment en una directriu que el client no implementa.

El transport no és l’aplicació que hi ha dins

La connexió exterior fa servir un transport com UDP o TCP per arribar a un oient configurat, i tot el que el túnel porta viatja dins d’aquest. Una petició web feta a través de la VPN no necessita el seu propi oient OpenVPN i no es converteix en un paquet OpenVPN al fil. En mode TLS el canal de control negocia el material de claus mentre el canal de dades protegeix la càrrega útil, i és una separació que val la pena mantenir correcta quan llegiu registres.

Confondre les capes produeix peticions com obrir un port per a un lloc web que ja funciona a través del túnel. El port pertany a la connexió exterior, no a l’aplicació.

Què pot prometre un perfil i què no

Un perfil diu a un client com arribar a un servei: punt final, transport, material d’identitat i sovint algunes preferències d’encaminament i DNS. No diu res sobre qui opera aquest servei ni sobre si el compte està autoritzat. Les rutes, la configuració del resolutor, les regles de reenviament i la política d’accés decideixen a què arriba realment la sessió. Un perfil que s’importa correctament és el començament d’una connexió funcional, no la prova que ho sigui.

Quan algú pregunta si un recurs és abastable per la VPN, la resposta depèn de la política del servidor i no del fitxer de configuració del client.

Demaneu allò que es pot aprovisionar

Convertiu el nom ampli en tres concrecions: el client i la seva versió, el perfil autoritzat per a aquest client i el recurs al qual la persona ha d’arribar. Amb aquestes, l’aprovisionament és una tasca concreta. Sense elles, cada resposta és una endevinalla sobre quin OpenVPN volia dir la pregunta.

Anoteu la resposta a la mateixa sol·licitud. El següent tiquet farà la mateixa pregunta de la mateixa manera ambigua.