OpenVPN ή IKEv2: τέσσερις έλεγχοι πριν επιλέξετε πρωτόκολλο

Η επιλογή μεταξύ OpenVPN και IKEv2 συνήθως συζητείται ως ζήτημα πρωτοκόλλου, και αυτό το πλαίσιο σπαταλά την απόφαση. Αυτό που την καθορίζει είναι αν ο διακομιστής και οι συσκευές σας υποστηρίζουν το ίδιο πλήρες προφίλ και αν αυτό το προφίλ αντέχει τον τρόπο που κινείστε ανάμεσα σε δίκτυα. Οι δύο στοίβες δεν μεταφράζονται η μία στην άλλη: ένα αρχείο OVPN δεν είναι προφίλ IKEv2 με διαφορετική σύνταξη. Τέσσερις έλεγχοι, εκτελεσμένοι με σειρά, απαντούν στο ερώτημα γρηγορότερα από οποιονδήποτε πίνακα χαρακτηριστικών.

Ένας πελάτης που λείπει τελειώνει τη συζήτηση

Τα Windows και το macOS παρέχουν πελάτη IKEv2, οπότε ένα προφίλ IKEv2 δεν κοστίζει τίποτα επιπλέον για ανάπτυξη εκεί και κληρονομεί τις επιλογές παροχής που εκθέτει ήδη το λειτουργικό σύστημα. OpenVPN στα ίδια μηχανήματα σημαίνει πελάτη τρίτου μέρους για εγκατάσταση, ενημέρωση και υποστήριξη, και αυτός ο πελάτης πρέπει να δέχεται κάθε επιλογή που χρησιμοποιεί το προφίλ. Μετρήστε τις πλατφόρμες που πρέπει να καλύψετε πριν συγκρίνετε οτιδήποτε άλλο, γιατί μια πλατφόρμα χωρίς λειτουργικό πελάτη δεν είναι καθόλου σημείο σύγκρισης.

Στα Windows, μία εντολή απαριθμεί τα προφίλ που υπάρχουν ήδη και δείχνει τι τύπου είναι το καθένα. Το όνομα που εκτυπώνει είναι το όνομα που χρησιμοποιούν οι επόμενοι έλεγχοι.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Η προτροπή να εγκαταστήσετε πελάτη είναι η πραγματική απάντηση για τη στήλη OpenVPN σε αυτές τις πλατφόρμες, και είναι έργο ανάπτυξης και όχι περιορισμός πρωτοκόλλου. Καμία από τις δύο ρυθμίσεις δεν αφαιρεί τους ελέγχους εμπιστοσύνης, την επαλήθευση ταυτότητας ή τη συντήρηση. Ρωτήστε πώς διανέμονται τα προφίλ, πώς ανανεώνονται τα διαπιστευτήρια και πώς αφαιρείται μια χαμένη συσκευή πριν δεσμευτείτε. Μια απλή εγκατάσταση μπορεί ακόμη να κρύβει μια διαδικασία ανάκτησης που κανείς δεν θέλει να εκτελέσει το σαββατοκύριακο.

Η κινητικότητα είναι κοινή ρύθμιση, όχι υπόσχεση πρωτοκόλλου

Το IKEv2 μπορεί να χρησιμοποιήσει το MOBIKE όταν και τα δύο άκρα το υποστηρίζουν και το ενεργοποιούν, κάτι που επιτρέπει στον πελάτη να κρατά τη σήραγγά του ενώ αλλάζει η διεύθυνσή του. RFC 4555 ορίζει την επέκταση, και η υπό όρους διατύπωση έχει σημασία: ένας διακομιστής που αγνοεί τη δυνατότητα διαπραγματεύεται ξανά αντί γι’ αυτό. Το αποτέλεσμα μπορεί να φαίνεται ίδιο σε μια μεταφορά αρχείου και πολύ διαφορετικό σε μια ζωντανή κλήση.

Δοκιμάστε τη μετάβαση που πραγματικά σας ενδιαφέρει, με κάτι σε λειτουργία που μπορείτε να παρατηρήσετε. Κρατήστε το ping -t <internal-host> σε λειτουργία στα Windows, ή το απλό ping αλλού, μετά αλλάξτε από Wi-Fi σε κινητό και προσέξτε για κενά. Μια αποτυχία MOBIKE εμφανίζεται στο αρχείο καταγραφής του πελάτη ως πλήρης επαναπιστοποίηση και όχι ως ήσυχη ενημέρωση διεύθυνσης. Αυτό που μετράτε είναι αν η σήραγγα επιβιώνει της αλλαγής, όχι αν το πρωτόκολλο διαφημίζει υποστήριξη.

Οι πελάτες OpenVPN επανασυνδέονται σύμφωνα με τη δική τους συμπεριφορά πλατφόρμας και τα χρονόμετρα του προφίλ, οπότε η ίδια δοκιμή μπορεί να δώσει διαφορετικό σχήμα διακοπής. Συγκρίνετε το γεγονός που έχει σημασία για τους χρήστες σας, όχι την ετικέτα του πρωτοκόλλου.

Τα διαπιστευτήρια ανήκουν στην υπηρεσία, όχι στη στοίβα

Τα πιστοποιητικά και άλλες ρυθμίσεις σύνδεσης ανήκουν στην υπηρεσία που τερματίζει τη σύνδεση. Μια προτροπή κωδικού σε έναν πελάτη δεν λέει τίποτα για τη συμβατότητα με άλλον, και ένα προφίλ που λειτουργεί με άλλη πύλη δεν λέει τίποτα για αυτήν. Διατηρήστε άθικτους τους κανόνες ταυτότητας του διακομιστή όσο συγκρίνετε τις δύο στοίβες. Η αλλαγή πρωτοκόλλου πριν εντοπίσετε τη βλάβη συνήθως παράγει δεύτερο ασύμβατο προφίλ.

Εξετάστε το διαπιστευτήριο που θα παρουσιάσει ο πελάτης πριν κατηγορήσετε οποιοδήποτε από τα δύο πρωτόκολλα, γιατί ένα ληγμένο ή λανθασμένα εκδοθέν πιστοποιητικό αποτυγχάνει με τον ίδιο τρόπο και στα δύο. Η παρακάτω έξοδος δείχνει θέμα, εκδότη και ημερομηνίες ισχύος χωρίς να διαβάζει το ιδιωτικό κλειδί.

openssl x509 -in client.crt -noout -subject -issuer -dates

Για εταιρική σύνδεση, χρησιμοποιήστε τη μέθοδο που δημοσιεύει η εταιρεία και σταματήστε να αντιμετωπίζετε τη σύγκριση ως πείραμα. Αν συγκρίνετε τις δύο επιλογές για τον εαυτό σας, ελέγξτε πρώτα αν και οι δύο καταλήγουν σε μία πύλη, γιατί αυτή η λεπτομέρεια καθορίζει πόσο από το αποτέλεσμά σας αφορά το πρωτόκολλο. Μια απόρριψη που ονομάζει το διαπιστευτήριο είναι πρόβλημα διαπιστευτηρίου, και καμία αλλαγή πρωτοκόλλου δεν θα το διορθώσει.

Ελέγξτε τι δρομολογεί πραγματικά η σήραγγα

Αφού συνδεθείτε, επιβεβαιώστε ότι η διαδρομή που χρειάζεστε υπάρχει και ότι τα ονόματα επιλύονται. Ένα προφίλ που υπάρχει για εσωτερικούς πόρους μπορεί να αφήνει την κανονική περιήγηση στην τοπική διαδρομή εκ σχεδιασμού, και αυτό είναι απόφαση πολιτικής και όχι βλάβη. Το σημαντικό είναι αν οι προορισμοί που χρησιμοποιεί η ομάδα σας είναι προσβάσιμοι μέσω της σήραγγας.

Δύο εντολές καλύπτουν τη διαδρομή και την αναζήτηση ονομάτων στα Windows. Τα αντίστοιχα στο Linux είναι ip route show default και resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Μια σήραγγα που σηκώνεται και δεν δρομολογεί τίποτα χρήσιμο είναι συχνό αποτέλεσμα όταν ένα προφίλ αντιγράφηκε μεταξύ υπηρεσιών, και ένα γενικό τεστ συνδεσιμότητας δεν θα το δείξει επειδή η διασύνδεση είναι ενεργή. Δοκιμάστε τον πόρο που ανοίγουν πρώτα οι χρήστες σας, όχι μια δημόσια διεύθυνση που φτάνει κάθε διαδρομή. Αν το όνομα επιλύεται σε δημόσια διεύθυνση ενώ η διαδρομή δείχνει μέσα στη σήραγγα, η απάντηση DNS και η διαδρομή ανήκουν σε διαφορετικές αποφάσεις και οι δύο χρειάζονται διόρθωση.

Ζυγίστε τη συντήρηση μετά τους ελέγχους

Κανένα από τα δύο πρωτόκολλα δεν είναι πιο συντηρήσιμο εκ των προτέρων. Η συντήρηση εξαρτάται από το ποιος λειτουργεί την πύλη, πώς φτάνουν τα προφίλ στις συσκευές και πόσο γρήγορα μια χαμένη συσκευή χάνει την πρόσβαση. Ένας απλός πελάτης άκρου μπορεί να βρίσκεται μπροστά από έναν δυσκολότερο διακομιστή και το αντίστροφο επίσης συμβαίνει. Ρωτήστε ποιο από τα δύο μπορεί η ομάδα σας να κρατήσει σε λειτουργία αφού φύγει το άτομο που το έφτιαξε.

Επιλέξτε τη υποστηριζόμενη σύνδεση που καλύπτει την εργασία και μετά δοκιμάστε την ως προς την πρόσβαση που χρειάζεστε πραγματικά και όχι ως προς μια λίστα χαρακτηριστικών. Καταγράψτε σε ποια πύλη καταλήγει κάθε επιλογή, γιατί δύο διαφορετικές πύλες κάνουν τη σύγκριση εξίσου θέμα διαδρομών όσο και πρωτοκόλλων. Επαναλάβετε τους τέσσερις ελέγχους στη συσκευή που θα κουβαλάτε πραγματικά και κρατήστε το προφίλ που περνά σε αυτήν.