OpenVPN Access Server vs. Community: Was tatsächlich umzieht

Profile ziehen um; Benutzerlisten bleiben zurück. Ein Team, das zwischen Access Server und Community Edition wechselt, trifft diese Lücke eine Stunde nach der Umstellung, wenn sich sein erster Client authentifiziert und dann keine Gruppenrichtlinie, keine Route pro Benutzer und keine Selbstbedienung zum Zurücksetzen des Passworts hat. Beide Produkte sprechen dasselbe Protokoll und akzeptieren denselben Client, und genau deshalb bleibt die Lücke bei der Planung unsichtbar. Was Sie tatsächlich wählen, ist die Verwaltungsschicht und die Menschen, die sie verantworten.

Behandeln Sie die Entscheidung als Inventarfrage statt als Funktionsmatrix. Fragen Sie, wer Benutzer anlegt, wer Zertifikate widerruft und wer um 02:00 den Anruf annimmt.

Warum die .ovpn-Datei die Konfiguration nicht mitbringt

Ein .ovpn-Profil beschreibt die Beziehung eines Clients zu einem Server: den entfernten Host, das Protokoll, die CA, ein Clientzertifikat und einen Schlüssel sowie etwaiges eingebettetes tls-crypt-Material. Werfen Sie diese Datei in einen frischen Aufbau, und der Client schließt trotzdem einen Handshake ab, sodass die Migration fertig aussieht. Nichts darin listet die Benutzer, ihre Gruppen, ihre statischen Routen oder die Richtlinie, die entschieden hat, wer überhaupt verbinden durfte. Diese Datensätze liegen im eigenen Speicher des Servers, und die beiden Produkte speichern sie in unterschiedlichen Formen.

In der Community Edition sind die Entsprechungen Dateien, die Sie selbst pflegen: client-config-dir-Einträge mit Optionen pro Client wie ifconfig-push und iroute, eine CRL für Widerrufe und der tls-crypt-Schlüssel. Access Server hält dieselben Konzepte in seiner eigenen Datenbank und stellt sie über eine Webkonsole und das Kommandozeilenwerkzeug sacli bereit. Die Konzepte bilden eins zu eins ab; die Artefakte ziehen überhaupt nicht um.

Profile schmuggeln auch Verhalten ein, das niemand bemerkt, bis es sich ändert. Ein Client mit redirect-gateway def1 schickt das gesamte Browsen über den Server; verschieben Sie ihn in einen Aufbau ohne diese Zeile, und die Beschwerde lautet, das Internet sei kaputt. Eine CA-Abweichung oder eine falsche Einstellung von remote-cert-tls schlägt laut fehl, was das gute Ergebnis ist. Ein fehlender tls-crypt-Schlüssel schlägt als stiller Timeout fehl, was es nicht ist.

Was die Verwaltungsschicht besitzt

Zählen Sie das, was nicht Protokoll ist: Kontoeinrichtung, Passwortrücksetzung, Gruppenzuweisung, MFA-Registrierung, Verbindungsberechtigungen und der Audit-Trail, der beantwortet, wer wann verbunden war. Die Community Edition bietet nichts davon direkt. Sie wählen ein Authentifizierungs-Backend, binden PAM, LDAP oder RADIUS über ein Plugin oder auth-user-pass-verify ein und pflegen den Rest selbst. Access Server liefert ein Benutzerportal, eine Administrationskonsole und Integrationen für gängige Identitätsanbieter. Keine der beiden Lösungen ist per se sicherer, denn die Richtlinie muss immer noch von jemandem geschrieben werden, der das Netzwerk kennt.

Berechtigungen sind der schärfste operative Unterschied. Access Server wird nach der Zahl gleichzeitiger Verbindungen lizenziert und erzwingt diese Zahl in der Software. In der Community Edition ist eine globale Obergrenze eine einzige max-clients-Zeile, während alles pro Benutzer oder pro Gruppe mehr Arbeit mit client-config-dir und eigene Durchsetzung bedeutet. Ein Team ohne Lust auf diese Pflege kauft genau das, wenn es für das kommerzielle Produkt zahlt.

Lizenzierung und Support: Die Position, die niemand einkalkuliert

Die Community Edition ist kostenlos und quelloffen. Access Server ist kommerziell, und seine kostenlose Stufe hat historisch eine kleine Zahl gleichzeitiger Verbindungen abgedeckt, darüber hinaus gilt eine bezahlte Lizenz. Jede Zahl aus einer alten Forumsantwort ist inzwischen veraltet, prüfen Sie also die aktuellen Bedingungen des Anbieters, bevor Sie das Projekt kalkulieren. Der ehrliche Vergleich addiert die Stunden für Benutzerverwaltung, MFA und Monitoring auf der Community-Seite zu der Lizenzposition auf der kommerziellen Seite.

Die Support-Verantwortung folgt derselben Aufteilung. Mit der Community Edition sind Sie der Eskalationsweg für jeden seltsamen Client und jedes Kernel-Update. Mit Access Server haben Sie einen Anbieter, den Sie anrufen können, und erben dessen Release-Rhythmus, ob er zu Ihrem Änderungsfenster passt oder nicht.

Prüfungen vor der Umstellung

Erfassen Sie vor dem Wechsel in beide Richtungen, was der laufende Server tatsächlich hält. Auf der Access-Server-Seite exportieren Sie die Benutzerliste und Gruppenzuweisungen und notieren, welche Konten auf MFA angewiesen sind. Auf der Community-Edition-Seite listen Sie die ausgestellten Zertifikate, die CRL und jede Datei unter client-config-dir auf. Vergleichen Sie die beiden Listen Zeile für Zeile, denn die Differenz zwischen ihnen ist die Migrationsarbeit.

Testen Sie repräsentative Clients, während der alte Dienst noch läuft. openvpn --config client.ovpn --verb 4 im Vordergrund gibt den Handshake, die gepushten Routen und die DNS-Optionen aus, und openssl x509 -in client.crt -noout -subject -enddate zeigt, welches Zertifikat der Client wirklich vorlegt. Ein Client, der verbindet, aber einen internen Host nicht erreicht, hat eine Lücke bei der Route oder bei iroute, keinen Authentifizierungsfehler.

Halten Sie den alten Wiederherstellungsweg am Leben, bis der Ersatz sowohl einen Test auf verweigerten Zugriff als auch einen erfolgreichen besteht. Schreiben Sie die endgültige Zuordnung auf eine Seite: jede Anforderung, das Artefakt, das sie heute erfüllt, und das Artefakt, das sie danach erfüllen wird.