VPN entrant de Windows o un amfitrió OpenVPN: tria en cinc minuts

Windows pot acceptar una connexió VPN sense res instal·lat més enllà del sistema operatiu, i això ajuda de veritat quan dues màquines que teniu necessiten un túnel durant una tarda. Es manté útil aproximadament aquest temps. L’oient integrat té un menú de protocols fix, cap política per client i una dependència d’un escriptori que algú pot tancar. Triar entre ell, un extrem al router i un OpenVPN es redueix a tres condicions, no a preferència.

Què és realment l’oient integrat

L’auxiliar de connexió entrant converteix una estació de treball en un petit extrem d’accés remot. Trieu quins comptes locals poden marcar, com s’assignen les adreces i quin protocol s’activa: PPTP, més L2TP/IPsec o SSTP allà on l’edició i la feina amb certificats els donin suport.

El que no és és una capa de polítiques. No hi ha assignació de rutes per usuari, ni túnel dividit imposat pel servidor, ni separació entre el túnel i la identitat de xarxa pròpia de l’estació. Un client que es connecta aterra al mateix segment que l’estació, sota les regles de tallafoc d’aquell segment.

Aquest últim punt és el que cal sospesar. Els ports, els recursos compartits i el navegador de l’estació són ara a l’abast de qui tingui el compte, i el compte és un compte local de Windows amb tot el que ja pot fer.

Tres condicions que ho decideixen

Pregunteu quant ha de durar l’accés, quanta gent el necessita i si la xarxa pot fins i tot lliurar el protocol.

Si la resposta és una màquina, una persona i unes hores en una xarxa on controleu el router, l’oient integrat és proporcionat. Si l’accés ha de sobreviure reinicis durant un mes, servir cinc companys amb credencials separades o funcionar des d’una xarxa mòbil que no pot rebre connexions entrants, no ho és. Si el protocol exigeix el protocol IP 47 en lloc d’un port, la xarxa pot negar-se a lliurar-lo independentment del que admeti Windows.

Aquestes tres respostes eliminen la major part de la discussió en una sola passada. La resta és detall d’implementació.

On guanya un extrem al router

Un túnel que acaba al router és l’encaix natural per a l’accés permanent. El router ja està sempre encès, pot portar un túnel de lloc a lloc fins a una altra oficina, i els clients no necessiten res instal·lat si el router ofereix el protocol que fan servir.

La limitació és el firmware. Els routers de consum sovint admeten només una part del que permet l’especificació, i un model que anuncia suport de VPN pot no incloure exactament el que havíeu previst. Reviseu la llista de funcions del firmware instal·lat, no la de la família de productes.

On guanya un amfitrió OpenVPN

Un servidor OpenVPN en una màquina petita sempre encesa encaixa amb clients mixtos, diversos usuaris amb credencials separades i xarxes on un sol port amable de sortida és la diferència entre funcionar i quedar bloquejat. Emet un perfil per client, s’executa a totes les plataformes principals i, des del costat del client, es comporta com una aplicació de sortida corrent.

També demana un propietari. Algú ha de renovar certificats, aplicar actualitzacions de l’amfitrió i llegir el registre quan un client no es pot connectar. Sense aquesta persona, un extrem autoallotjat es degrada en silenci fins al dia que importa.

Comproveu el camí abans de prometre accés

La raó més comuna perquè falli un oient de Windows no és l’autenticació. És el camí: PPTP necessita TCP 1723 entrant i GRE, que és el protocol 47 i no un port, i molts routers només redirigeixen ports. Algunes xarxes d’accés no permeten cap connexió entrant. Aquest sol fet descarta l’oient integrat en més xarxes que qualsevol paràmetre de Windows.

Proveu el camí abans de configurar comptes, perquè un fracàs tingui un sol candidat en lloc de tres:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Un port tancat a la primera línia és un problema de redirecció o de l’operadora, no de Windows. La tercera línia és la comprovació que faríeu després de triar OpenVPN, on un sol port UDP a l’escolta substitueix tota la qüestió del protocol.

Trieu l’opció que trieu, no deixeu PPTP mirant a internet com a solució a llarg termini; la seva autenticació i el seu xifrat són obsolets. I si la necessitat real és una sola aplicació web, un proxy invers és una resposta més petita que qualsevol VPN.