Indgående VPN i Windows eller en OpenVPN-vært: vælg på fem minutter

Windows kan acceptere en VPN-forbindelse uden andet installeret end styresystemet, og det hjælper virkelig, når to maskiner, du ejer, skal bruge en tunnel i en eftermiddag. Den forbliver brugbar omtrent så længe. Den indbyggede lytter har en fast protokolmenu, ingen politik pr. klient og en afhængighed af en computer, som nogen kan lukke. Valget mellem den, et router-endepunkt og en OpenVPN-vært kommer ned til tre betingelser og ikke til præference.

Hvad den indbyggede lytter egentlig er

Guiden til indgående forbindelse gør en arbejdsstation til et lille endepunkt for fjernadgang. Du vælger, hvilke lokale konti der må ringe ind, hvordan adresser uddeles, og hvilken protokol der er slået til: PPTP samt L2TP/IPsec eller SSTP, hvor udgaven og certifikatarbejdet understøtter dem.

Det, den ikke er, er et politisk lag. Der er ingen rutetildeling pr. bruger, ingen serverhåndhævet split tunnel og ingen adskillelse mellem tunnelen og arbejdsstationens egen netværksidentitet. En klient, der forbinder, lander på samme segment som arbejdsstationen under det segments firewallregler.

Det sidste punkt er det, der skal vejes. Arbejdsstationens egne porte, delinger og browser er nu inden for rækkevidde for enhver, der har kontoen, og kontoen er en lokal Windows-konto med alt det andet, den allerede kan.

Tre betingelser, der afgør det

Spørg, hvor længe adgangen skal vare, hvor mange der har brug for den, og om netværket overhovedet kan levere protokollen.

Hvis svaret er én maskine, én person og et par timer på et netværk, hvor du styrer routeren, er den indbyggede lytter passende. Hvis adgangen skal overleve genstarter i en måned, betjene fem kolleger med hver sin adgangskode eller virke fra et mobilnetværk, der ikke kan modtage indgående forbindelser, er den det ikke. Hvis protokollen kræver IP-protokol 47 i stedet for en port, kan netværket nægte at levere den, uanset hvad Windows understøtter.

De tre svar fjerner det meste af diskussionen i én omgang. Resten er implementeringsdetaljer.

Hvor et router-endepunkt vinder

En tunnel, der afsluttes på routeren, er det naturlige valg til permanent adgang. Routeren er allerede altid tændt, den kan bære en tunnel fra sted til sted til et andet kontor, og klienter skal ikke installere noget, hvis routeren tilbyder den protokol, de bruger.

Begrænsningen er firmware. Forbrugerroutere understøtter ofte kun en delmængde af det, specifikationen tillader, og en model, der reklamerer med VPN-understøttelse, har måske ikke netop den, du havde planlagt. Tjek funktionslisten for den installerede firmware, ikke for produktfamilien.

Hvor en OpenVPN-vært vinder

En OpenVPN-server på en lille maskine, der altid er tændt, passer til blandede klienter, flere brugere med hver sin adgangskode og netværk, hvor én udgående venlig port er forskellen mellem at virke og at være blokeret. Den udsteder en profil pr. klient, kører på alle større platforme og opfører sig fra klientens side som en almindelig udgående applikation.

Den kræver også en ejer. Nogen skal forny certifikater, installere opdateringer på værten og læse loggen, når en klient ikke kan forbinde. Uden den person går et selvhostet endepunkt stille i forfald, indtil den dag det betyder noget.

Tjek ruten, før du lover adgang

Den mest almindelige grund til, at en Windows-lytter fejler, er ikke godkendelse. Det er ruten: PPTP kræver indgående TCP 1723 og GRE, som er protokol 47 og ikke en port, og mange routere videresender kun porte. Nogle adgangsnetværk tillader slet ikke indgående forbindelser. Den ene kendsgerning udelukker den indbyggede lytter på flere netværk, end nogen Windows-indstilling gør.

Test ruten, før du konfigurerer konti, så en fejl har én kandidat i stedet for tre:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

En lukket port på første linje er et videresendelses- eller udbyderproblem, ikke et Windows-problem. Den tredje linje er den kontrol, du ville køre efter at have valgt OpenVPN, hvor én lyttende UDP-port erstatter hele protokolspørgsmålet.

Uanset hvilken mulighed du vælger, må du ikke lade PPTP vende mod internettet som en langsigtet løsning; godkendelsen og krypteringen er forældet. Og hvis det egentlige behov er én webapplikation, er en omvendt proxy et mindre svar end nogen VPN.