OpenVPN Access Server versus Community: co se skutečně přenáší

Profily se přenesou; seznamy uživatelů zůstanou. Tým, který přechází mezi Access Serverem a Community Edition, narazí na tuto mezeru hodinu po přechodu, když se jeho první klient ověří a pak nemá skupinovou politiku, žádnou trasu pro uživatele ani samoobslužné obnovení hesla. Oba produkty mluví stejným protokolem a přijímají stejného klienta, a právě proto zůstává mezera při plánování neviditelná. Co skutečně vybíráte, je vrstva správy a lidé, kteří ji vlastní.

Pojměte rozhodnutí jako otázku inventáře, ne jako tabulku funkcí. Ptejte se, kdo vytváří uživatele, kdo odvolává certifikáty a kdo zvedá telefon ve 02:00.

Proč soubor .ovpn nenese nastavení

Profil .ovpn popisuje vztah jednoho klienta k jednomu serveru: vzdálený hostitel, protokol, CA, klientský certifikát a klíč a jakýkoli vložený materiál tls-crypt. Vložte tento soubor do nové instalace a klient přesto dokončí handshake, takže migrace vypadá hotová. Nic v něm neuvádí uživatele, jejich skupiny, jejich statické trasy ani politiku, která rozhodovala o tom, komu je vůbec dovoleno se připojit. Tyto záznamy žijí ve vlastním úložišti serveru a oba produkty je uchovávají v různých podobách.

V Community Edition jsou ekvivalenty soubory, které si držíte: položky client-config-dir s možnostmi pro jednotlivé klienty, jako jsou ifconfig-push a iroute, CRL pro odvolání a klíč tls-crypt. Access Server drží stejné pojmy ve vlastní databázi a vystavuje je přes webovou konzoli a nástroj příkazového řádku sacli. Pojmy si odpovídají jedna k jedné; artefakty se vůbec nepřesouvají.

Profily také propašují chování, kterého si nikdo nevšimne, dokud se nezmění. Klient s redirect-gateway def1 posílá veškeré prohlížení přes server; přesuňte ho do instalace bez tohoto řádku a stížnost bude, že se rozbil internet. Neshoda CA nebo špatné nastavení remote-cert-tls selže nahlas, což je dobrý výsledek. Chybějící klíč tls-crypt selže jako tiché vypršení časového limitu, což není.

Co vlastní vrstva správy

Spočítejte, co není protokol: vytváření účtů, obnovení hesel, přiřazování skupin, zápis do MFA, oprávnění k připojení a auditní stopa, která odpovídá, kdo se kdy připojil. Community Edition nic z toho přímo neposkytuje. Vyberete si backend ověřování, zapojíte PAM, LDAP nebo RADIUS přes plugin nebo auth-user-pass-verify a zbytek si udržujete sami. Access Server dodává uživatelský portál, administrativní konzoli a integrace s běžnými poskytovateli identity. Ani jedno uspořádání není ve výchozím stavu bezpečnější, protože politiku stále musí napsat někdo, kdo zná síť.

Oprávnění k připojení jsou nejostřejší provozní rozdíl. Access Server se licencuje podle počtu souběžných připojení a tento počet vynucuje softwarem. V Community Edition je globální limit jediný řádek max-clients, zatímco cokoli pro uživatele nebo skupinu znamená více práce s client-config-dir a vlastní vynucení. Tým bez chuti k této údržbě kupuje přesně to, když platí za komerční produkt.

Licencování a podpora: řádek, který nikdo neplánuje do rozpočtu

Community Edition je zdarma a open source. Access Server je komerční a jeho bezplatná úroveň historicky pokrývala malý počet souběžných připojení, nad nímž je placená licence. Jakékoli číslo citované ve staré odpovědi na fóru je už zastaralé, proto si před kalkulací projektu ověřte aktuální podmínky dodavatele. Poctivé srovnání přičítá hodiny strávené stavbou správy uživatelů, MFA a monitoringu na komunitní straně k řádku licence na komerční straně.

Vlastnictví podpory sleduje stejné rozdělení. S Community Edition jste eskalační cestou pro každého podivného klienta a každou aktualizaci jádra. S Access Serverem máte dodavatele, kterému můžete zavolat, a dědíte jeho rytmus vydání, ať už se hodí do vašeho okna změn, nebo ne.

Kontroly, které je třeba provést před přechodem

Před přechodem kterýmkoli směrem si zmapujte, co běžící server skutečně uchovává. Na straně Access Serveru exportujte seznam uživatelů a přiřazení skupin a poznamenejte, které účty spoléhají na MFA. Na straně Community Edition vypište vydané certifikáty, CRL a každý soubor pod client-config-dir. Porovnejte oba seznamy řádek po řádku, protože rozdíl mezi nimi je migrační práce.

Testujte reprezentativní klienty, dokud stará služba ještě běží. openvpn --config client.ovpn --verb 4 v popředí vypíše handshake, předávané trasy a možnosti DNS a openssl x509 -in client.crt -noout -subject -enddate ukáže, který certifikát klient skutečně předkládá. Klient, který se připojí, ale nedostane se k internímu hostiteli, má mezeru v trase nebo v iroute, nikoli selhání ověřování.

Udržujte starou cestu obnovy živou, dokud náhrada neprojde testem odmítnutého přístupu i testem úspěšným. Zapište konečnou mapu na jednu stránku: každý požadavek, artefakt, který ho splňuje dnes, a artefakt, který ho splní potom.