OpenVPN neu IKEv2: pedwar prawf cyn dewis protocol

Mae’r dewis rhwng OpenVPN ac IKEv2 fel arfer yn cael ei drafod fel cwestiwn protocol, ac mae’r fframiad hwnnw’n gwastraffu’r penderfyniad. Yr hyn sy’n ei benderfynu yw a yw eich gweinydd a’ch dyfeisiau’n cefnogi’r un proffil cyflawn, ac a yw’r proffil hwnnw’n goroesi’r ffordd rydych yn symud rhwng rhwydweithiau. Nid yw’r ddau stac yn cyfieithu i’w gilydd: nid yw ffeil OVPN yn broffil IKEv2 â chystrawen wahanol. Mae pedwar prawf, a wneir yn eu trefn, yn ateb y cwestiwn yn gyflymach nag unrhyw dabl nodweddion.

Mae cleient ar goll yn dod â’r drafodaeth i ben

Mae Windows a macOS yn cynnwys cleient IKEv2, felly nid yw proffil IKEv2 yn costio dim ychwanegol i’w osod yno ac mae’n etifeddu’r opsiynau darparu y mae’r system weithredu eisoes yn eu cynnig. OpenVPN ar yr un peiriannau’n golygu cleient trydydd parti i’w osod, ei ddiweddaru a’i gefnogi, ac mae’n rhaid i’r cleient hwnnw dderbyn pob opsiwn y mae’r proffil yn ei ddefnyddio. Cyfrwch y platfformau y mae’n rhaid eu cynnwys cyn cymharu unrhyw beth arall, oherwydd nid yw platfform heb gleient gweithredol yn bwynt cymharu o gwbl.

Ar Windows, mae un gorchymyn yn rhestru’r proffiliau sydd eisoes yn bodoli ac yn dangos pa fath yw pob un. Yr enw y mae’n ei argraffu yw’r enw y mae’r profion diweddarach yn ei ddefnyddio.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Yr anogiad i osod cleient yw’r ateb go iawn ar gyfer colofn OpenVPN ar y platfformau hynny, ac mae’n dasg defnyddio yn hytrach na chyfyngiad protocol. Nid yw’r un o’r ddau drefniant yn dileu gwiriadau ymddiriedaeth, dilysu hunaniaeth na chynnal a chadw. Gofynnwch sut y caiff proffiliau eu dosbarthu, sut y caiff tystlythyrau eu hadnewyddu a sut y caiff dyfais goll ei dileu cyn ymrwymo. Gall gosodiad syml o hyd guddio proses adfer na fyddai neb am ei rhedeg dros y penwythnos.

Mae symudedd yn osodiad ar y cyd, nid yn addewid protocol

Gall IKEv2 ddefnyddio MOBIKE pan fydd y ddau ben yn ei gefnogi ac yn ei alluogi, sy’n caniatáu i gleient gadw ei dwnnel tra bo ei gyfeiriad yn newid. RFC 4555 sy’n diffinio’r estyniad, ac mae’r geiriad amodol yn bwysig: mae gweinydd sy’n anwybyddu’r gallu yn ail-drafod yn lle hynny. Gall y canlyniad edrych yn union yr un fath ar gyfer trosglwyddo ffeil ac yn hollol wahanol ar gyfer galwad fyw.

Profwch y newid sy’n wirioneddol bwysig i chi, gyda rhywbeth yn rhedeg y gallwch ei wylio. Cadwch ping -t <internal-host> i redeg ar Windows, neu’r ping plaen mewn man arall, yna newidiwch o Wi-Fi i gell a gwyliowch am fylchau. Mae methiant MOBIKE yn ymddangos fel ail-ddilysu llawn yn nogfen y cleient yn hytrach nag fel diweddariad cyfeiriad tawel. Yr hyn rydych yn ei fesur yw a yw’r twnnel yn goroesi’r newid, nid a yw’r protocol yn hysbysebu cefnogaeth.

Mae cleientiaid OpenVPN yn ailgysylltu yn ôl eu hymddygiad platfform eu hunain a’r amseryddion proffil, felly gall yr un prawf gynhyrchu siâp gwahanol o darfu. Cymharwch y digwyddiad sy’n bwysig i’ch defnyddwyr, nid y label ar y protocol.

Mae tystlythyrau’n perthyn i’r gwasanaeth, nid i’r stac

Mae tystysgrifau a threfniadau mewngofnodi eraill yn perthyn i’r gwasanaeth sy’n terfynu’r cysylltiad. Nid yw anogiad cyfrinair mewn un cleient yn dweud dim am gydnawsedd â chleient arall, ac nid yw proffil sy’n gweithio yn erbyn porth arall yn dweud dim am hwn. Cadwch reolau hunaniaeth y gweinydd yn gyfan wrth gymharu’r ddau stac. Mae newid protocol cyn i chi nodi’r methiant fel arfer yn creu ail broffil anghydnaws.

Archwiliwch y dystlythyr y bydd y cleient yn ei chyflwyno cyn beio’r naill brotocol na’r llall, oherwydd mae tystysgrif wedi dod i ben neu wedi’i rhoi’n anghywir yn methu’r un fath ar y ddau. Mae’r allbwn isod yn dangos pwnc, cyhoeddwr a dyddiadau dilysrwydd heb ddarllen y allwedd breifat.

openssl x509 -in client.crt -noout -subject -issuer -dates

Ar gyfer cysylltiad cwmni, defnyddiwch y dull y mae’r cwmni’n ei gyhoeddi a pheidiwch â thrin y gymhariaeth fel arbrawf. Os ydych yn cymharu’r ddau i chi’ch hun, gwiriwch yn gyntaf a yw’r ddau opsiwn yn gorffen ar un porth, oherwydd mae’r manylyn hwnnw’n penderfynu faint o’ch canlyniad sy’n ymwneud â’r protocol. Mae gwrthodiad sy’n enwi’r dystlythyr yn broblem dystlythyr, ac ni fydd unrhyw newid protocol yn ei thrwsio.

Gwiriwch beth y mae’r twnnel yn ei lwybro mewn gwirionedd

Ar ôl cysylltu, cadarnhewch fod y llwybr sydd ei angen arnoch yn bodoli a bod enwau’n datrys. Gall proffil sy’n bodoli ar gyfer adnoddau mewnol adael pori cyffredin ar y llwybr lleol fel y bwriadwyd, ac mae hynny’n benderfyniad polisi yn hytrach na nam. Y peth pwysig yw a yw’r cyrchfannau y mae eich tîm yn eu defnyddio yn gyrraeddadwy drwy’r twnnel.

Mae dau orchymyn yn cwmpasu’r llwybr a’r chwilio enwau ar Windows. Yr hyn sy’n gyfatebol ar Linux yw ip route show default a resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Mae twnnel sy’n codi ac yn llwybro dim defnyddiol yn ganlyniad cyffredin pan gafodd proffil ei gopïo rhwng gwasanaethau, ac ni fydd prawf cysylltedd cyffredinol yn dangos hynny oherwydd bod y rhyngwyneb i fyny. Profwch yr adnodd y mae eich defnyddwyr yn ei agor gyntaf, nid cyfeiriad cyhoeddus y gall unrhyw lwybr ei gyrraedd. Os yw’r enw’n datrys i gyfeiriad cyhoeddus tra bo’r llwybr yn pwyntio i mewn i’r twnnel, mae ateb DNS a’r llwybr yn perthyn i benderfyniadau gwahanol ac mae angen trwsio’r ddau.

Pwyswch y cynnal a chadw ar ôl y profion

Nid yw’r naill brotocol na’r llall yn fwy cynaliadwy ar ei ben ei hun. Mae cynnal a chadw yn dibynnu ar pwy sy’n gweithredu’r porth, sut mae proffiliau’n cyrraedd dyfeisiau a pha mor gyflym y mae dyfais goll yn colli mynediad. Gall cleient pen terfyn syml sefyll o flaen gweinydd anoddach i’w redeg, ac mae’r gwrthwyneb hefyd yn digwydd. Gofynnwch pa un o’r ddau y gall eich tîm ei gadw i weithio ar ôl i’r person a’i hadeiladodd adael.

Dewiswch y cysylltiad cymorth a geir gan y gwaith, yna ei brofi yn erbyn y mynediad sydd ei angen arnoch mewn gwirionedd yn hytrach nag yn erbyn rhestr nodweddion. Cofnodwch ar ba borth y mae pob opsiwn yn gorffen, oherwydd mae dau borth gwahanol yn gwneud y gymhariaeth cymaint am lwybrau ag am brotocolau. Ailadroddwch y pedwar prawf ar y ddyfais y byddwch yn ei chario mewn gwirionedd, a chadwch y proffil sy’n pasio arni.