OpenVPN Access Server ή Community: τι μεταφέρεται πραγματικά

Τα προφίλ μεταφέρονται· οι λίστες χρηστών μένουν πίσω. Μια ομάδα που αλλάζει μεταξύ Access Server και Community Edition συναντά αυτό το κενό μία ώρα μετά τη μετάβαση, όταν ο πρώτος πελάτης της πιστοποιείται και ύστερα δεν έχει πολιτική ομάδας, ούτε διαδρομή ανά χρήστη, ούτε αυτοεξυπηρετούμενη επαναφορά κωδικού. Και τα δύο προϊόντα μιλούν το ίδιο πρωτόκολλο και δέχονται τον ίδιο πελάτη, και γι' αυτό ακριβώς το κενό μένει αόρατο κατά τον σχεδιασμό. Αυτό που πραγματικά επιλέγετε είναι το επίπεδο διαχείρισης και οι άνθρωποι που το κατέχουν.

Αντιμετωπίστε την απόφαση ως ερώτημα απογραφής και όχι ως πίνακα λειτουργιών. Ρωτήστε ποιος δημιουργεί χρήστες, ποιος ανακαλεί πιστοποιητικά και ποιος απαντά στο τηλέφωνο στις 02:00.

Γιατί το αρχείο .ovpn δεν μεταφέρει τη ρύθμιση

Ένα προφίλ .ovpn περιγράφει τη σχέση ενός πελάτη με έναν διακομιστή: τον απομακρυσμένο κεντρικό υπολογιστή, το πρωτόκολλο, την αρχή πιστοποίησης, ένα πιστοποιητικό και κλειδί πελάτη και τυχόν ενσωματωμένο υλικό tls-crypt. Ρίξτε αυτό το αρχείο σε μια νέα εγκατάσταση και ο πελάτης εξακολουθεί να ολοκληρώνει τη χειραψία, ώστε η μετάβαση να φαίνεται τελειωμένη. Τίποτα σε αυτό δεν απαριθμεί τους χρήστες, τις ομάδες τους, τις στατικές διαδρομές τους ή την πολιτική που αποφάσιζε ποιος επιτρεπόταν να συνδεθεί καθόλου. Αυτές οι εγγραφές ζουν στον δικό του χώρο αποθήκευσης του διακομιστή, και τα δύο προϊόντα τις αποθηκεύουν σε διαφορετικές μορφές.

Στο Community Edition τα αντίστοιχα είναι αρχεία που κρατάτε εσείς: καταχωρήσεις client-config-dir με επιλογές ανά πελάτη όπως ifconfig-push και iroute, ένα CRL για ανακλήσεις και το κλειδί tls-crypt. Το Access Server κρατά τις ίδιες έννοιες στη δική του βάση δεδομένων και τις εκθέτει μέσω κονσόλας ιστού και του εργαλείου γραμμής εντολών sacli. Οι έννοιες αντιστοιχίζονται ένα προς ένα· τα τεχνουργήματα δεν μεταφέρονται καθόλου.

Τα προφίλ επίσης λαθρεμπορεύουν συμπεριφορά που κανείς δεν προσέχει μέχρι να αλλάξει. Ένας πελάτης με redirect-gateway def1 στέλνει όλη την περιήγηση μέσω του διακομιστή· μεταφέρετέ τον σε εγκατάσταση χωρίς αυτή τη γραμμή και το παράπονο θα είναι ότι χάλασε το διαδίκτυο. Μια αναντιστοιχία CA ή μια λανθασμένη ρύθμιση remote-cert-tls αποτυγχάνει ηχηρά, που είναι το καλό αποτέλεσμα. Ένα κλειδί tls-crypt που λείπει αποτυγχάνει ως σιωπηλό timeout, που δεν είναι.

Τι κατέχει το επίπεδο διαχείρισης

Μετρήστε ό,τι δεν είναι πρωτόκολλο: δημιουργία λογαριασμών, επαναφορά κωδικού, ανάθεση ομάδων, εγγραφή MFA, δικαιώματα σύνδεσης και το ίχνος ελέγχου που απαντά ποιος συνδέθηκε πότε. Το Community Edition δεν παρέχει τίποτα από αυτά άμεσα. Επιλέγετε ένα backend πιστοποίησης, συνδέετε PAM, LDAP ή RADIUS μέσω πρόσθετου ή auth-user-pass-verify και συντηρείτε τα υπόλοιπα μόνοι σας. Το Access Server παρέχει πύλη χρηστών, κονσόλα διαχείρισης και ενσωματώσεις με κοινούς παρόχους ταυτότητας. Καμία από τις δύο ρυθμίσεις δεν είναι ασφαλέστερη εξ ορισμού, γιατί την πολιτική πρέπει ακόμη να τη γράψει κάποιος που γνωρίζει το δίκτυο.

Τα δικαιώματα είναι η πιο έντονη λειτουργική διαφορά. Το Access Server αδειοδοτείται με βάση τον αριθμό ταυτόχρονων συνδέσεων και επιβάλλει αυτόν τον αριθμό μέσω λογισμικού. Στο Community Edition, ένα συνολικό όριο είναι μία μόνο γραμμή max-clients, ενώ οτιδήποτε ανά χρήστη ή ανά ομάδα σημαίνει περισσότερη δουλειά με client-config-dir και δική σας επιβολή. Μια ομάδα χωρίς όρεξη για αυτή τη συντήρηση αγοράζει ακριβώς αυτό όταν πληρώνει για το εμπορικό προϊόν.

Αδειοδότηση και υποστήριξη: η γραμμή που κανείς δεν προϋπολογίζει

Το Community Edition είναι δωρεάν και ανοιχτού κώδικα. Το Access Server είναι εμπορικό, και το δωρεάν επίπεδό του κάλυπτε ιστορικά μικρό αριθμό ταυτόχρονων συνδέσεων με πληρωμένη άδεια πάνω από αυτό. Οποιοσδήποτε αριθμός αναφέρεται σε παλιά απάντηση forum έχει πλέον ξεπεραστεί, οπότε ελέγξτε τους τρέχοντες όρους του προμηθευτή πριν κοστολογήσετε το έργο. Η έντιμη σύγκριση προσθέτει τις ώρες που δαπανώνται για τη δημιουργία διαχείρισης χρηστών, MFA και παρακολούθησης στην πλευρά της κοινότητας στη γραμμή άδειας στην εμπορική πλευρά.

Η ιδιοκτησία υποστήριξης ακολουθεί την ίδια διάσπαση. Με το Community Edition είστε η διαδρομή κλιμάκωσης για κάθε παράξενο πελάτη και κάθε ενημέρωση πυρήνα. Με το Access Server έχετε έναν προμηθευτή να καλέσετε, και κληρονομείτε τον ρυθμό εκδόσεών του είτε ταιριάζει στο παράθυρο αλλαγών σας είτε όχι.

Έλεγχοι πριν από τη μετάβαση

Καταγράψτε τι κρατά πραγματικά ο ενεργός διακομιστής πριν από τη μετάβαση προς οποιαδήποτε κατεύθυνση. Στην πλευρά του Access Server, εξάγετε τη λίστα χρηστών και τις αναθέσεις ομάδων και σημειώστε ποιοι λογαριασμοί βασίζονται σε MFA. Στην πλευρά του Community Edition, απαριθμήστε τα εκδοθέντα πιστοποιητικά, το CRL και κάθε αρχείο κάτω από το client-config-dir. Συγκρίνετε τις δύο λίστες γραμμή προς γραμμή, γιατί η διαφορά μεταξύ τους είναι η δουλειά μετανάστευσης.

Δοκιμάστε αντιπροσωπευτικούς πελάτες όσο η παλιά υπηρεσία λειτουργεί ακόμη. Το openvpn --config client.ovpn --verb 4 στο προσκήνιο εκτυπώνει τη χειραψία, τις διαδρομές που ωθούνται και τις επιλογές DNS, και το openssl x509 -in client.crt -noout -subject -enddate δείχνει ποιο πιστοποιητικό παρουσιάζει πραγματικά ο πελάτης. Ένας πελάτης που συνδέεται αλλά δεν φτάνει σε εσωτερικό κεντρικό υπολογιστή έχει κενό διαδρομής ή iroute, όχι αποτυχία πιστοποίησης.

Κρατήστε την παλιά διαδρομή ανάκτησης ζωντανή μέχρι η αντικατάσταση να περάσει δοκιμή απορριφθείσας πρόσβασης καθώς και επιτυχημένη. Γράψτε τον τελικό χάρτη σε μία σελίδα: κάθε απαίτηση, το τεχνούργημα που την ικανοποιεί σήμερα και το τεχνούργημα που θα την ικανοποιήσει μετά.