Eingehendes VPN unter Windows oder ein OpenVPN-Host: in fünf Minuten entscheiden

Windows kann eine VPN-Verbindung annehmen, ohne dass außer dem Betriebssystem etwas installiert ist, und das hilft wirklich, wenn zwei Rechner in Ihrem Besitz für einen Nachmittag einen Tunnel brauchen. Etwa so lange bleibt es nützlich. Der integrierte Listener hat ein festes Protokollmenü, keine Richtlinie pro Client und eine Abhängigkeit von einem Desktop, den jemand schließen kann. Die Wahl zwischen ihm, einem Router-Endpunkt und einem OpenVPN-Host hängt an drei Bedingungen und nicht an Vorliebe.

Was der integrierte Listener wirklich ist

Der Assistent für eingehende Verbindungen macht aus einer Arbeitsstation einen kleinen Endpunkt für den Fernzugriff. Sie wählen, welche lokalen Konten sich einwählen dürfen, wie Adressen vergeben werden und welches Protokoll aktiv ist: PPTP sowie L2TP/IPsec oder SSTP, wo die Edition und die Zertifikatsarbeit sie unterstützen.

Was er nicht ist, ist eine Richtlinienschicht. Es gibt keine Routenzuweisung pro Benutzer, keinen servererzwungenen Split-Tunnel und keine Trennung zwischen dem Tunnel und der eigenen Netzidentität der Arbeitsstation. Ein Client, der sich verbindet, landet im selben Segment wie die Arbeitsstation, unter den Firewallregeln dieses Segments.

Genau der letzte Punkt ist abzuwägen. Die eigenen Ports, Freigaben und der Browser der Arbeitsstation sind nun für jeden erreichbar, der das Konto hat, und das Konto ist ein lokales Windows-Konto mit allem anderen, was es schon kann.

Drei Bedingungen, die es entscheiden

Fragen Sie, wie lange der Zugang dauern muss, wie viele Leute ihn brauchen und ob das Netzwerk das Protokoll überhaupt zustellen kann.

Wenn die Antwort ein Rechner, eine Person und ein paar Stunden in einem Netzwerk ist, in dem Sie den Router kontrollieren, ist der integrierte Listener angemessen. Wenn der Zugang einen Monat lang Neustarts überstehen, fünf Kollegen mit getrennten Zugangsdaten bedienen oder aus einem Mobilfunknetz funktionieren muss, das keine eingehenden Verbindungen empfangen kann, dann nicht. Wenn das Protokoll IP-Protokoll 47 statt eines Ports verlangt, kann das Netzwerk die Zustellung verweigern, unabhängig davon, was Windows unterstützt.

Diese drei Antworten beseitigen den größten Teil der Diskussion in einem Durchgang. Der Rest ist Implementierungsdetail.

Wo ein Router-Endpunkt gewinnt

Ein Tunnel, der am Router endet, ist die natürliche Wahl für dauerhaften Zugang. Der Router ist ohnehin immer an, er kann einen Standort-zu-Standort-Tunnel zu einem anderen Büro tragen, und Clients brauchen nichts installiert, wenn der Router das Protokoll anbietet, das sie nutzen.

Die Einschränkung ist die Firmware. Consumer-Router unterstützen oft nur einen Teil dessen, was die Spezifikation erlaubt, und ein Modell, das mit VPN-Unterstützung wirbt, enthält vielleicht nicht genau das geplante Protokoll. Prüfen Sie die Funktionsliste der installierten Firmware, nicht die der Produktfamilie.

Wo ein OpenVPN-Host gewinnt

Ein OpenVPN-Server auf einem kleinen, immer eingeschalteten Rechner passt zu gemischten Clients, mehreren Nutzern mit getrennten Zugangsdaten und Netzwerken, in denen ein einziger ausgehender Port der Unterschied zwischen Funktionieren und Blockiertwerden ist. Er stellt pro Client ein Profil aus, läuft auf allen großen Plattformen und verhält sich aus Client-Sicht wie eine gewöhnliche ausgehende Anwendung.

Er verlangt auch einen Eigentümer. Jemand muss Zertifikate erneuern, Host-Aktualisierungen einspielen und das Protokoll lesen, wenn ein Client sich nicht verbinden kann. Ohne diese Person verfällt ein selbst gehosteter Endpunkt still bis zu dem Tag, an dem er zählt.

Prüfen Sie den Pfad, bevor Sie Zugang versprechen

Der häufigste Grund, warum ein Windows-Listener scheitert, ist nicht die Authentifizierung. Es ist der Pfad: PPTP braucht eingehendes TCP 1723 und GRE, also Protokoll 47 und keinen Port, und viele Router leiten nur Ports weiter. Manche Zugangsnetze erlauben eingehende Verbindungen überhaupt nicht. Diese eine Tatsache schließt den integrierten Listener in mehr Netzen aus als jede Windows-Einstellung.

Testen Sie den Pfad, bevor Sie Konten einrichten, damit ein Fehlschlag einen Kandidaten hat statt drei:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Ein geschlossener Port in der ersten Zeile ist ein Weiterleitungs- oder Anbieterproblem, kein Windows-Problem. Die dritte Zeile ist die Prüfung, die Sie nach der Wahl von OpenVPN durchführen würden, wo ein einziger lauschender UDP-Port die ganze Protokollfrage ersetzt.

Welche Option Sie auch wählen, lassen Sie PPTP nicht als Dauerlösung ins Internet zeigen; seine Authentifizierung und Verschlüsselung sind veraltet. Und wenn der wirkliche Bedarf eine einzige Webanwendung ist, ist ein Reverse-Proxy eine kleinere Antwort als jedes VPN.