Používáme OpenVPN: protokol, jádro, nebo aplikace? Na co se místo toho ptát

Věta „používáme OpenVPN“ přichází v tiketech, nákupních formulářích i dokumentech pro nové zaměstnance a v každém z nich odpovídá na jinou otázku. Někdy označuje přenosový protokol, někdy software na bráně a někdy aplikaci, kterou má nový zaměstnanec nainstalovat. Tyto tři skutečnosti vedou k různým dalším krokům a zeptat se, která z nich je míněna, zabere méně času než hádání. Zbytek vyšetřování vyplývá z této odpovědi.

Začněte oddělením role od značky, protože značka pokrývá všechny tři.

Název pokrývá tři role, které selhávají různě

Jako protokol OpenVPN popisuje, jak kompatibilní protějšky navazují tunel a chrání to, co jím prochází. Jako software je to implementace, která tímto protokolem mluví v roli klienta nebo serveru. Jako klient je to aplikace, kterou někdo nainstaluje, s vlastní verzí, formátem profilu a zvláštnostmi platformy. Selhání v jedné roli neznamená selhání v jiné, a proto věta „OpenVPN je mimo provoz“ potřebuje podmět.

Zeptejte se, co hlášení vidí: soubor profilu, nainstalovaný program, nebo bránu, kterou spravuje. Tento jediný detail vám řekne, zda je dalším krokem klientský log, otázka na balíček, nebo kontrola posluchače na straně serveru.

OpenVPN 2 a OpenVPN 3 nejsou pár pro upgrade

OpenVPN 2.x běží v roli serveru i klienta a právě ho většina nasazení brán stále používá. OpenVPN 3 je samostatná implementace orientovaná na klienta s vlastní konfigurací a modelem relace, nikoli další vydání, které instalujete nad server 2.x. OpenVPN Connect je klientská aplikace postavená na jádru OpenVPN 3. Instalace kterékoli z nich nevytváří službu výstupu do internetu; výstupem je to, co nakonfiguroval operátor.

Kompatibilita na úrovni protokolu se nevztahuje na direktivy profilu, takže profil, který se čistě naimportuje, může stále selhat na direktivě, kterou klient neimplementuje.

Transport není aplikace uvnitř něj

Vnější spojení používá transport jako UDP nebo TCP, aby dosáhlo nakonfigurovaného posluchače, a vše, co tunel nese, jede uvnitř něj. Webový požadavek provedený přes VPN nepotřebuje vlastního posluchače OpenVPN a na drátě se nestává paketem OpenVPN. V režimu TLS vyjednává řídicí kanál klíčový materiál, zatímco datový kanál chrání užitečné zatížení, a to je rozdělení, které se při čtení logů vyplatí držet správně.

Záměna vrstev plodí požadavky, jako je otevření portu pro web, který už přes tunel funguje. Port patří vnějšímu spojení, ne aplikaci.

Co profil může a co nemůže slíbit

Profil říká jednomu klientovi, jak dosáhnout jedné služby: koncový bod, transport, identitní materiál a často některé preference směrování a DNS. Neříká nic o tom, kdo tuto službu provozuje ani zda je účet oprávněn. Trasy, nastavení překladače, pravidla předávání a přístupová politika rozhodují o tom, čeho relace skutečně dosáhne. Profil, který se úspěšně naimportuje, je začátek funkčního spojení, ne důkaz o něm.

Když se někdo ptá, zda je zdroj dostupný přes VPN, odpověď závisí na politice serveru, nikoli na konfiguračním souboru klienta.

Žádejte to, co lze zajistit

Přeměňte široký název na tři konkrétnosti: klient a jeho verze, autorizovaný profil pro tohoto klienta a zdroj, ke kterému se člověk potřebuje dostat. S nimi je zajištění konkrétní úkol. Bez nich je každá odpověď odhadem, který OpenVPN otázka myslela.

Zapište odpověď do samotného požadavku. Příští tiket položí stejnou otázku stejným nejednoznačným způsobem.