Χρησιμοποιούμε OpenVPN: πρωτόκολλο, μηχανή ή εφαρμογή; Τι να ρωτήσουμε αντ’ αυτού

Η φράση «χρησιμοποιούμε OpenVPN» φτάνει σε δελτία, έντυπα προμηθειών και έγγραφα ένταξης νέων υπαλλήλων, και σε καθένα από αυτά απαντά σε διαφορετικό ερώτημα. Άλλοτε ονομάζει ένα πρωτόκολλο μεταφοράς, άλλοτε το λογισμικό σε μια πύλη και άλλοτε την εφαρμογή που πρέπει να εγκαταστήσει ένας νέος υπάλληλος. Αυτά τα τρία γεγονότα οδηγούν σε διαφορετικά επόμενα βήματα, και το να ρωτήσεις ποιο εννοείται παίρνει λιγότερο χρόνο από το να μαντέψεις. Η υπόλοιπη έρευνα προκύπτει από αυτή την απάντηση.

Ξεκινήστε χωρίζοντας τον ρόλο από τη μάρκα, γιατί η μάρκα καλύπτει και τα τρία.

Το όνομα καλύπτει τρεις ρόλους που αποτυγχάνουν διαφορετικά

Ως πρωτόκολλο, το OpenVPN περιγράφει πώς συμβατοί ομότιμοι στήνουν ένα τούνελ και προστατεύουν ό,τι το διαπερνά. Ως λογισμικό, είναι μια υλοποίηση που μιλά αυτό το πρωτόκολλο σε ρόλο πελάτη ή διακομιστή. Ως πελάτης, είναι μια εφαρμογή που εγκαθιστά κάποιος, με δική της έκδοση, μορφή προφίλ και ιδιορρυθμίες πλατφόρμας. Μια αστοχία σε έναν ρόλο δεν συνεπάγεται αστοχία σε άλλον, και γι’ αυτό η φράση «το OpenVPN είναι κάτω» χρειάζεται υποκείμενο.

Ρωτήστε τι μπορεί να δει όποιος το αναφέρει: ένα αρχείο προφίλ, ένα εγκατεστημένο πρόγραμμα ή μια πύλη που διαχειρίζεται. Αυτή η μία λεπτομέρεια σας λέει αν το επόμενο βήμα είναι αρχείο καταγραφής πελάτη, ερώτηση για το πακέτο ή έλεγχος ακροατή στην πλευρά του διακομιστή.

Το OpenVPN 2 και το OpenVPN 3 δεν είναι ζεύγος αναβάθμισης

Το OpenVPN 2.x τρέχει και σε ρόλο διακομιστή και σε ρόλο πελάτη, και είναι αυτό που χρησιμοποιούν ακόμη οι περισσότερες αναπτύξεις πυλών. Το OpenVPN 3 είναι ξεχωριστή υλοποίηση προσανατολισμένη στον πελάτη, με δική της διαμόρφωση και μοντέλο συνεδρίας, όχι η επόμενη έκδοση που εγκαθιστάτε πάνω από διακομιστή 2.x. Το OpenVPN Connect είναι εφαρμογή πελάτη χτισμένη πάνω στη μηχανή OpenVPN 3. Η εγκατάσταση οποιουδήποτε από αυτά δεν δημιουργεί υπηρεσία εξόδου στο διαδίκτυο, η έξοδος είναι ό,τι έχει διαμορφώσει ο διαχειριστής.

Η συμβατότητα σε επίπεδο πρωτοκόλλου δεν επεκτείνεται στις οδηγίες του προφίλ, οπότε ένα προφίλ που εισάγεται καθαρά μπορεί να αποτύχει σε μια οδηγία που ο πελάτης δεν υλοποιεί.

Η μεταφορά δεν είναι η εφαρμογή μέσα της

Η εξωτερική σύνδεση χρησιμοποιεί μια μεταφορά όπως UDP ή TCP για να φτάσει σε διαμορφωμένο ακροατή, και ό,τι μεταφέρει το τούνελ κινείται μέσα της. Ένα αίτημα ιστού που γίνεται μέσω του VPN δεν χρειάζεται δικό του ακροατή OpenVPN και δεν γίνεται πακέτο OpenVPN στο σύρμα. Σε λειτουργία TLS το κανάλι ελέγχου διαπραγματεύεται υλικό κλειδιών ενώ το κανάλι δεδομένων προστατεύει το ωφέλιμο φορτίο, κι αυτός είναι ένας διαχωρισμός που αξίζει να τον κρατάτε σωστό όταν διαβάζετε αρχεία καταγραφής.

Η σύγχυση των επιπέδων παράγει αιτήματα όπως το άνοιγμα θύρας για έναν ιστότοπο που λειτουργεί ήδη μέσω του τούνελ. Η θύρα ανήκει στην εξωτερική σύνδεση, όχι στην εφαρμογή.

Τι μπορεί και τι δεν μπορεί να υποσχεθεί ένα προφίλ

Ένα προφίλ λέει σε έναν πελάτη πώς να φτάσει σε μία υπηρεσία: τελικό σημείο, μεταφορά, υλικό ταυτότητας και συχνά μερικές προτιμήσεις δρομολόγησης και DNS. Δεν λέει τίποτα για το ποιος λειτουργεί αυτή την υπηρεσία ή αν ο λογαριασμός είναι εξουσιοδοτημένος. Οι διαδρομές, οι ρυθμίσεις του επιλυτή, οι κανόνες προώθησης και η πολιτική πρόσβασης καθορίζουν τι φτάνει πραγματικά η συνεδρία. Ένα προφίλ που εισάγεται με επιτυχία είναι η αρχή μιας λειτουργικής σύνδεσης, όχι η απόδειξή της.

Όταν κάποιος ρωτά αν ένας πόρος είναι προσβάσιμος μέσω του VPN, η απάντηση εξαρτάται από την πολιτική του διακομιστή και όχι από το αρχείο διαμόρφωσης του πελάτη.

Ζητήστε το πράγμα που μπορεί να παρασχεθεί

Μετατρέψτε το ευρύ όνομα σε τρεις συγκεκριμένες πληροφορίες: τον πελάτη και την έκδοσή του, το εξουσιοδοτημένο προφίλ για αυτόν τον πελάτη και τον πόρο που πρέπει να φτάσει το άτομο. Με αυτά, η παροχή είναι συγκεκριμένη εργασία. Χωρίς αυτά, κάθε απάντηση είναι μια εικασία για το ποιο OpenVPN εννοούσε η ερώτηση.

Καταγράψτε την απάντηση στο ίδιο το αίτημα. Το επόμενο δελτίο θα θέσει το ίδιο ερώτημα με τον ίδιο ασαφή τρόπο.