OpenVPN Access Server yn erbyn Community: beth sydd wir yn mudo

Mae proffiliau'n symud; mae rhestrau defnyddwyr yn aros ar ôl. Mae tîm sy'n symud rhwng Access Server a Community Edition yn cyfarfod â'r bwlch hwnnw awr i mewn i'r trosglwyddiad, pan fydd ei gleient cyntaf yn dilysu ac yna heb bolisi grŵp, heb lwybr fesul defnyddiwr a heb ailosod cyfrinair hunanwasanaeth. Mae'r ddau gynnyrch yn siarad yr un protocol ac yn derbyn yr un cleient, a dyna'n union pam mae'r bwlch yn aros yn anweledig wrth gynllunio. Yr hyn rydych chi'n ei ddewis mewn gwirionedd yw'r haen reoli a'r bobl sy'n berchen arni.

Triniwch y penderfyniad fel cwestiwn rhestr eiddo yn hytrach na grid nodweddion. Gofynnwch pwy sy'n creu defnyddwyr, pwy sy'n dirymu tystysgrifau, a phwy sy'n ateb yr alwad am 02:00.

Pam nad yw'r ffeil .ovpn yn cario'r gosodiad

Mae proffil .ovpn yn disgrifio perthynas un cleient ag un gweinydd: y gwesteiwr o bell, y protocol, y CA, tystysgrif a allwedd cleient, ac unrhyw ddeunydd tls-crypt mewnol. Gollyngwch y ffeil honno i greadigaeth newydd ac mae'r cleient yn dal i gwblhau'r cyfarch, felly mae'r mudo'n edrych yn orffenedig. Nid oes unrhyw beth ynddi yn rhestru'r defnyddwyr, eu grwpiau, eu llwybrau statig, na'r polisi a benderfynodd pwy oedd yn cael cysylltu o gwbl. Mae'r cofnodion hynny'n byw yn storfa'r gweinydd ei hun, ac mae'r ddau gynnyrch yn eu storio ar ffurfiau gwahanol.

Yn Community Edition, y cyfatebion yw ffeiliau rydych chi'n eu cadw: cofnodion client-config-dir sy'n dal opsiynau fesul cleient fel ifconfig-push ac iroute, CRL ar gyfer dirymiadau, a'r allwedd tls-crypt. Mae Access Server yn cadw'r un cysyniadau yn ei gronfa ddata ei hun ac yn eu hamlygu trwy gonsol we ac offeryn llinell orchymyn sacli. Mae'r cysyniadau'n mapio un i un; nid yw'r arteffactau'n symud o gwbl.

Mae proffiliau hefyd yn smyglu ymddygiad nad oes neb yn sylwi arno nes iddo newid. Mae cleient gyda redirect-gateway def1 yn anfon yr holl bori trwy'r gweinydd; symudwch ef i greadigaeth heb y llinell honno a'r gŵyn fydd bod y rhyngrwyd wedi torri. Mae anghydweddiad CA neu osodiad remote-cert-tls anghywir yn methu'n uchel, sef y canlyniad da. Mae allwedd tls-crypt ar goll yn methu fel cyfwng distaw, nad yw.

Beth sy'n berchen ar yr haen reoli

Cyfrifwch yr hyn nad yw'n brotocol: creu cyfrifon, ailosod cyfrineiriau, neilltuo grwpiau, ymrestru MFA, hawliau cysylltu, a'r trywydd archwilio sy'n ateb pwy gysylltodd pryd. Nid yw Community Edition yn darparu unrhyw un o'r rhain yn uniongyrchol. Rydych chi'n dewis backend dilysu, yn cysylltu PAM, LDAP neu RADIUS trwy ategyn neu auth-user-pass-verify, ac yn cynnal y gweddill eich hun. Mae Access Server yn cludo porth defnyddwyr, consol weinyddu ac integreiddiadau ar gyfer darparwyr hunaniaeth cyffredin. Nid yw'r naill drefniant na'r llall yn fwy diogel yn ddiofyn, oherwydd rhaid i rywun sy'n adnabod y rhwydwaith ysgrifennu'r polisi o hyd.

Hawliau cysylltu yw'r gwahaniaeth gweithredol mwyaf miniog. Mae Access Server yn cael ei drwyddedu yn ôl nifer y cysylltiadau cyfredol ac yn gorfodi'r nifer hwnnw mewn meddalwedd. Yn Community Edition, cap byd-eang yw un llinell max-clients, tra bod unrhyw beth fesul defnyddiwr neu fesul grŵp yn golygu mwy o waith client-config-dir a'ch gorfodi eich hun. Mae tîm heb awydd am y cynnal a chadw hwnnw'n prynu'n union hynny pan fydd yn talu am y cynnyrch masnachol.

Trwyddedu a chymorth: yr eitem nad oes neb yn ei chyllidebu

Mae Community Edition yn rhad ac am ddim ac yn god agored. Mae Access Server yn fasnachol, ac mae ei haen am ddim wedi cynnwys yn hanesyddol nifer fach o gysylltiadau cyfredol gyda thrwydded â thâl uwchlaw hynny. Mae unrhyw ffigur a ddyfynnwyd mewn hen ateb fforwm bellach wedi dyddio, felly gwiriwch delerau cyfredol y gwerthwr cyn i chi gostio'r prosiect. Mae'r gymhariaeth onest yn ychwanegu'r oriau a dreulir yn adeiladu rheoli defnyddwyr, MFA a monitro ar yr ochr gymunedol at y llinell drwydded ar yr ochr fasnachol.

Mae perchnogaeth cymorth yn dilyn yr un rhaniad. Gyda Community Edition chi yw'r llwybr esgyn ar gyfer pob cleient od a phob diweddariad cnewyllyn. Gydag Access Server mae gennych werthwr i'w ffonio, ac rydych chi'n etifeddu ei guriad rhyddhau p'un a yw'n gweddu i'ch ffenestr newid ai peidio.

Gwiriadau i'w rhedeg cyn y trosglwyddiad

Gwnewch restr eiddo o'r hyn y mae'r gweinydd sy'n rhedeg yn ei ddal mewn gwirionedd cyn trosglwyddiad yn y naill gyfeiriad na'r llall. Ar ochr Access Server, allforiwch y rhestr defnyddwyr a'r neilltuadau grŵp a nodwch pa gyfrifon sy'n dibynnu ar MFA. Ar ochr Community Edition, rhedwch sylw dros y tystysgrifau a gyhoeddwyd, y CRL a phob ffeil o dan client-config-dir. Cymharwch y ddwy restr linell wrth linell, oherwydd y gwahaniaeth rhyngddynt yw'r gwaith mudo.

Profwch gleientiaid cynrychioladol tra bod yr hen wasanaeth yn dal i redeg. Mae openvpn --config client.ovpn --verb 4 yn y blaendir yn argraffu'r cyfarch, y llwybrau a wthiwyd a'r opsiynau DNS, ac mae openssl x509 -in client.crt -noout -subject -enddate yn dangos pa dystysgrif y mae'r cleient yn ei chyflwyno mewn gwirionedd. Mae gan gleient sy'n cysylltu ond na all gyrraedd gwesteiwr mewnol fwlch llwybr neu iroute, nid methiant dilysu.

Cadwch yr hen lwybr adfer yn fyw nes bod yr olynydd yn pasio prawf gwrthod mynediad yn ogystal â phrawf llwyddiannus. Ysgrifennwch y map terfynol ar un dudalen: pob gofyniad, yr arteffact sy'n ei fodloni heddiw, a'r arteffact a fydd yn ei fodloni wedyn.