Příchozí VPN ve Windows, nebo hostitel OpenVPN: vyberte za pět minut

Windows umí přijmout VPN připojení bez čehokoli nainstalovaného kromě operačního systému, a to skutečně pomůže, když dva vaše počítače potřebují tunel na jedno odpoledne. Užitečné zůstane přibližně tak dlouho. Vestavěný posluchač má pevnou nabídku protokolů, žádnou politiku pro jednotlivé klienty a závislost na ploše, kterou někdo může zavřít. Volba mezi ním, koncovým bodem na routeru a hostitelem OpenVPN se redukuje na tři podmínky, ne na preferenci.

Co vestavěný posluchač skutečně je

Průvodce příchozím připojením promění pracovní stanici v malý koncový bod vzdáleného přístupu. Vyberete, které místní účty se smějí přihlásit, jak se přidělují adresy a který protokol je zapnutý: PPTP, plus L2TP/IPsec nebo SSTP tam, kde to edice a práce s certifikáty podporují.

Co to není, je vrstva politik. Neexistuje přiřazení tras pro jednotlivé uživatele, žádný serverem vynucený rozdělený tunel ani oddělení tunelu od vlastní síťové identity pracovní stanice. Klient, který se připojí, přistane ve stejném segmentu jako pracovní stanice, pod pravidly firewallu toho segmentu.

Právě poslední bod je třeba zvážit. Vlastní porty pracovní stanice, sdílené složky a prohlížeč jsou nyní dostupné každému, kdo má účet, a účet je místní účet Windows se vším ostatním, co už umí.

Tři podmínky, které to rozhodnou

Zeptejte se, jak dlouho má přístup vydržet, kolik lidí ho potřebuje a zda síť vůbec dokáže protokol doručit.

Pokud je odpověď jeden stroj, jeden člověk a několik hodin v síti, kde router ovládáte vy, je vestavěný posluchač přiměřený. Pokud má přístup přežít restartování po měsíc, obsloužit pět kolegů s oddělenými přihlašovacími údaji nebo fungovat z mobilní sítě, která nemůže přijímat příchozí spojení, není. Pokud protokol vyžaduje IP protokol 47 místo portu, síť ho může odmítnout doručit bez ohledu na to, co Windows podporuje.

Tyto tři odpovědi odstraní většinu hádky na jeden průchod. Zbytek je detail implementace.

Kde vyhrává koncový bod na routeru

Tunel ukončený na routeru je přirozenou volbou pro trvalý přístup. Router už je vždy zapnutý, umí nést tunel mezi lokalitami do jiné kanceláře a klienti nepotřebují nic instalovat, pokud router nabízí protokol, který používají.

Omezením je firmware. Spotřebitelské routery často podporují jen část toho, co specifikace dovoluje, a model, který inzeruje podporu VPN, nemusí obsahovat právě ten protokol, se kterým jste počítali. Zkontrolujte seznam funkcí nainstalovaného firmwaru, ne produktové řady.

Kde vyhrává hostitel OpenVPN

Server OpenVPN na malém počítači, který je stále zapnutý, sedne smíšeným klientům, několika uživatelům s oddělenými přihlašovacími údaji i sítím, kde je jediný port vhodný pro odchozí provoz rozdílem mezi fungováním a zablokováním. Vydává profil pro každého klienta, běží na všech hlavních platformách a z pohledu klienta se chová jako běžná odchozí aplikace.

Také si žádá vlastníka. Někdo musí obnovovat certifikáty, nasazovat aktualizace hostitele a číst log, když se klient nemůže připojit. Bez toho člověka samostatně hostovaný koncový bod tiše chátrá až do dne, kdy na něm záleží.

Ověřte cestu, než slíbíte přístup

Nejčastějším důvodem selhání posluchače Windows není autentizace. Je to cesta: PPTP potřebuje příchozí TCP 1723 a GRE, což je protokol 47, ne port, a mnoho routerů přesměrovává jen porty. Některé přístupové sítě příchozí spojení vůbec nepovolují. Tento jediný fakt vyřadí vestavěný posluchač ve více sítích než jakékoli nastavení Windows.

Otestujte cestu před konfigurací účtů, aby selhání mělo jednoho kandidáta místo tří:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Zavřený port na prvním řádku je problém přesměrování nebo operátora, ne Windows. Třetí řádek je kontrola, kterou byste provedli po volbě OpenVPN, kde jediný naslouchající UDP port nahradí celou otázku protokolu.

Ať vyberete kteroukoli možnost, nenechávejte PPTP obrácené do internetu jako dlouhodobé řešení; jeho autentizace a šifrování jsou zastaralé. A pokud je skutečnou potřebou jedna webová aplikace, reverzní proxy je menší odpověď než jakákoli VPN.