OpenVPN Access Server versus Community: hvad der faktisk flyttes

Profiler flytter med; brugerlister bliver tilbage. Et team, der skifter mellem Access Server og Community Edition, møder det hul en time inde i overgangen, når dets første klient godkender sig og derefter ikke har nogen gruppepolitik, ingen rute pr. bruger og ingen selvbetjent nulstilling af adgangskode. Begge produkter taler samme protokol og accepterer samme klient, og det er netop derfor, hullet forbliver usynligt under planlægningen. Det, du reelt vælger, er administrationslaget og de mennesker, der ejer det.

Behandl beslutningen som et inventarspørgsmål frem for et funktionsskema. Spørg, hvem der opretter brugere, hvem der tilbagekalder certifikater, og hvem der tager telefonen kl. 02:00.

Hvorfor .ovpn-filen ikke bærer opsætningen

En .ovpn-profil beskriver én klients forhold til én server: fjernværten, protokollen, CA'en, et klientcertifikat og en nøgle samt eventuelt inline tls-crypt-materiale. Smid den fil ind i et nyt build, og klienten gennemfører stadig et håndtryk, så migreringen ser færdig ud. Intet i den lister brugerne, deres grupper, deres statiske ruter eller den politik, der afgjorde, hvem der overhovedet måtte forbinde. De registreringer bor i serverens eget lager, og de to produkter gemmer dem i forskellige former.

I Community Edition er ækvivalenterne filer, du selv holder: client-config-dir-poster med indstillinger pr. klient som ifconfig-push og iroute, en CRL til tilbagekaldelser og tls-crypt-nøglen. Access Server holder de samme begreber i sin egen database og eksponerer dem gennem en webkonsol og kommandolinjeværktøjet sacli. Begreberne svarer en til en; artefakterne flytter slet ikke.

Profiler smugler også adfærd ind, som ingen bemærker, før den ændrer sig. En klient med redirect-gateway def1 sender al browsing gennem serveren; flyt den til et build uden den linje, og klagen er, at internettet gik i stykker. En CA-uoverensstemmelse eller en forkert remote-cert-tls-indstilling fejler højlydt, hvilket er det gode udfald. En manglende tls-crypt-nøgle fejler som en stille timeout, hvilket ikke er.

Hvad administrationslaget ejer

Tæl alt det, der ikke er protokol: oprettelse af konti, nulstilling af adgangskoder, gruppetildeling, MFA-tilmelding, forbindelsesrettigheder og det revisionsspor, der svarer på, hvem der loggede på hvornår. Community Edition leverer intet af det direkte. Du vælger en godkendelsesbackend, kobler PAM, LDAP eller RADIUS ind via et plugin eller auth-user-pass-verify og vedligeholder resten selv. Access Server leverer en brugerportal, en administrationskonsol og integrationer til almindelige identitetsudbydere. Ingen af ordningerne er sikrere som standard, fordi politikken stadig skal skrives af en, der kender netværket.

Rettigheder er den skarpeste driftsmæssige forskel. Access Server licenseres efter et antal samtidige forbindelser og håndhæver det antal i software. I Community Edition er et globalt loft en enkelt max-clients-linje, mens alt pr. bruger eller pr. gruppe betyder mere client-config-dir-arbejde og din egen håndhævelse. Et team uden appetit på den vedligeholdelse køber netop det, når det betaler for det kommercielle produkt.

Licens og support: den post, ingen budgetterer med

Community Edition er gratis og open source. Access Server er kommerciel, og dens gratisniveau har historisk dækket et lille antal samtidige forbindelser med en betalt licens derover. Ethvert tal fra et gammelt forum-svar er forældet nu, så tjek leverandørens aktuelle vilkår, før du budgetterer projektet. Den ærlige sammenligning lægger de timer, der bruges på at bygge brugerstyring, MFA og overvågning på community-siden, til licensposten på den kommercielle side.

Supportejerskab følger samme opdeling. Med Community Edition er du eskaleringsvejen for hver eneste mærkelige klient og hver kernel-opdatering. Med Access Server har du en leverandør at ringe til, og du arver dens udgivelsesrytme, uanset om den passer til dit ændringsvindue.

Kontroller, der skal køres før overgangen

Lav en oversigt over, hvad den kørende server faktisk holder, før skiftet i begge retninger. På Access Server-siden eksporterer du brugerlisten og gruppetildelingerne og noterer, hvilke konti der er afhængige af MFA. På Community Edition-siden oplister du de udstedte certifikater, CRL'en og hver fil under client-config-dir. Sammenlign de to lister linje for linje, fordi forskellen mellem dem er migreringsarbejdet.

Test repræsentative klienter, mens den gamle tjeneste stadig kører. openvpn --config client.ovpn --verb 4 i forgrunden udskriver håndtrykket, de pushede ruter og DNS-indstillingerne, og openssl x509 -in client.crt -noout -subject -enddate viser, hvilket certifikat klienten reelt fremviser. En klient, der forbinder, men ikke kan nå en intern vært, har et rute- eller iroute-hul, ikke en godkendelsesfejl.

Hold den gamle gendannelsesvej i live, indtil erstatningen består en test med afvist adgang såvel som en vellykket. Skriv det endelige kort på en enkelt side: hvert krav, den artefakt, der opfylder det i dag, og den artefakt, der vil opfylde det bagefter.