SSTP yn erbyn OpenVPN: yr un porth 443, protocol wahanol

Gall y ddau opsiwn eistedd y tu ôl i TCP 443, felly mae pobl yn tybio eu bod yn bwyntiau terfyn cyfnewidiol. Nid ydynt: SSTP gweinydd yn siarad PPP y tu mewn i HTTPS, tra bod gweinydd OpenVPN yn siarad ei brotocol ei hun dros TLS neu drwy ffrwd UDP amrwd. Mae anfon un cleient at borth y llall yn cynhyrchu cysylltiad na chyrhaedda anogwr mewngofnodi byth. Mae’r dewis yn ymwneud â pa glient a pha drafnidiaeth y gallwch eu cefnogi, nid â’r rhif.

Nid yw porth a rennir yn gwneud protocol a rennir

Gall yr ysgwyd llaw TLS gwblhau ac eto beidio â mynd i unman, oherwydd wedyn nid yw’r cleient a’r gweinydd yn cytuno beth i’w ddweud nesaf. Mewn cipiad pecynnau gwelwch ysgwyd llaw glân ac yna data cymhwysiad y mae’r ochr arall yn ei wrthod neu’n ei anwybyddu. Arwydd o gamgymariad protocol yw’r patrwm hwnnw, nid o floc gwal dân.

Nid yw proffil wedi’i ailenwi nac enghraifft wahanol o’r ddewislen yn troi’r naill yn y llall. Crëir cysylltiad SSTP o osodiadau VPN Windows ag anfonadres gweinydd a manylion dilysu’r gweithredwr, tra bod angen y cleient a’r ffeil ffurfweddu gyfatebol ar gysylltiad OpenVPN. Manyleb SSTP Microsoft yn disgrifio’r cyntaf, ac nid yw’n disgrifio ysgwyd llaw OpenVPN.

Mae porth 443 yn gyfleustra polisi. Mae’n mynd trwy rwydweithiau sy’n caniatáu ychydig arall, ac mae hynny’n fantais wirioneddol, ond nid yw’n dweud dim wrthych am ba brotocol sy’n rhedeg y tu ôl iddo.

Mae SSTP yn tunelu PPP y tu mewn i HTTPS

Mae’r enw’n disgrifio’r gwaith: fframiau PPP yn cael eu cario y tu mewn i sesiwn HTTPS, sy’n golygu TLS oddi tano a thystysgrif y gall y cleient ei gwirio. Mae Windows yn cynnwys hyn fel math VPN brodorol, felly’n aml gall gliniadur a reolir gysylltu heb unrhyw feddalwedd ychwanegol y tu hwnt i’r proffil a gyflenwir gan y gweithredwr.

Mae llwyfannau eraill yn stori wahanol. Mae angen gweithrediad a gynhelir ar glient Linux neu macOS, ac maent yn amrywio yn yr hyn a gefnogir ganddynt a sut maent yn adrodd gwallau. Gwiriwch y cleient yr ydych mewn gwirionedd yn bwriadu ei ddefnyddio yn lle tybio bod gallu adeiledig Windows yn trosglwyddo, a chadarnhewch fod enw’r gweinydd yn y proffil yn cyfateb i’r dystysgrif a gyflwynir gan y gweinydd.

Mae SSTP fel arfer yn TCP yn unig. Mae’r un drafnidiaeth honno’n effeithio ar sut mae’n ymddwyn ar gyswllt â cholled, oherwydd mae ailsyrchu’n digwydd y tu mewn i’r tunel yn ogystal ag oddi tano.

Mae OpenVPN yn dod â’i glient ei hun a dewis o drafnidiaeth

Mae OpenVPN yn cludo ei glient a’i broffil ei hun, sy’n rhoi diagnosteg i chi nad yw deialog brodorol Windows yn ei ddatgelu. Gall y gweinydd wrando ar UDP neu TCP, a ffurfweddiad y gweithredwr sy’n penderfynu pa un y mae’n rhaid i’ch cleient ei ddefnyddio. Mae proffil wedi’i anelu at y drafnidiaeth anghywir yn methu cyn dilysu.

Mae dilysu yr un mor yrrwyd gan ffurfweddiad. Gall defnyddlyfr fod yn gofyn am dystysgrifau’n unig, tystysgrifau ynghyd ag enw defnyddiwr a chyfrinair, neu ail ffactor ar ben hynny, ac mae’n rhaid i’r cleient gyfateb i’r drefn honno’n union. Nid yw’r ffaith bod cysylltiad yn cyrraedd cam TLS yn dweud wrthych ba dystlythyrau y bydd yn eu gofyn nesaf.

UDP yw’r rhagosodiad arferol oherwydd ei fod yn osgoi nythu ffrwd ddibynadwy y tu mewn i ffrwd ddibynadwy arall. Mae modd TCP yn bodoli ar gyfer rhwydweithiau sy’n rhwystro UDP, ac mae’n gweithio, ond gall colled drwm ei wneud yn teimlo’n waeth na’r llwybr UDP y daeth yn ei le. Dewiswch TCP pan fo’n rhaid, nid oherwydd ei fod yn swnio’n fwy dibynadwy.

Dewiswch yn ôl cleient, trafnidiaeth a chymorth

Mae tair cwestiwn yn setlo’r rhan fwyaf o’r penderfyniadau hyn. A oes angen cysylltiad ar bob dyfais gleient sy’n gweithio heb feddalwedd ychwanegol? A yw’r rhwydwaith yr ydych yn dibynnu arno yn caniatáu UDP, neu ai TCP 443 yw’r unig allanfa? A phwy sy’n cefnogi’r cleient, ei ddiweddariadau a’i adferiad pan fydd proffil yn dod i ben?

Pan fyddwch yn cymharu’r ddau, profwch ar yr un ddyfais a’r un rhwydwaith mynediad. Os yw pen terfyn SSTP a phen terfyn OpenVPN yn weinyddwyr gwahanol neu’n safleoedd gwahanol, mae’ch canlyniad yn cynnwys y llwybrau a’r peiriannau hynny yn lle ynysu’r protocol. Dyma’r ffordd fwyaf cyffredin y mae’r cymariaethau hyn yn cynhyrchu ateb hyderus ond anghywir.

Yna cadarnhewch pa un a sefydlwyd gennych mewn gwirionedd cyn dadfygio unrhyw beth arall:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Naill ffordd neu’r llall, gorffennwch drwy brofi’r adnodd a’r DNS sydd eu hangen arnoch yn lle datgan llwyddiant ar gyflwr y tunel. Gellir ffurfweddu’r ddau brotocol i gario traffig preifat dethol yn unig, ac mae tunel cysylltiedig heb ddatrysiad enwau gweithredol yn edrych fel VPN wedi torri pan mai dyluniad tunel hollt neu DNS sydd ynddo mewn gwirionedd.

Ar fflyd a reolir, mae dosbarthu proffiliau a chymorth diweddaru fel arfer yn penderfynu’r cwestiwn ymhell cyn unrhyw fesur trafnidiaeth.