SSTP ή OpenVPN: ίδια θύρα 443, διαφορετικό πρωτόκολλο

Και οι δύο επιλογές μπορούν να σταθούν πίσω από το TCP 443, γι’ αυτό οι άνθρωποι υποθέτουν ότι είναι εναλλάξιμα τελικά σημεία. Δεν είναι: ένας διακομιστής SSTP μιλά PPP μέσα σε HTTPS, ενώ ένας διακομιστής OpenVPN μιλά το δικό του πρωτόκολλο πάνω από TLS ή μέσω ακατέργαστης ροής UDP. Η στροφή ενός πελάτη στη θύρα του άλλου παράγει σύνδεση που δεν φτάνει ποτέ σε προτροπή σύνδεσης. Η επιλογή αφορά ποιον πελάτη και ποια μεταφορά μπορείτε να υποστηρίξετε, όχι τον αριθμό.

Μια κοινή θύρα δεν κάνει κοινό πρωτόκολλο

Η χειραψία TLS μπορεί να ολοκληρωθεί και παρ’ όλα αυτά να μην οδηγήσει πουθενά, γιατί μετά ο πελάτης και ο διακομιστής διαφωνούν για το τι θα πουν στη συνέχεια. Σε μια καταγραφή πακέτων βλέπετε μια καθαρή χειραψία και μετά δεδομένα εφαρμογής που ο ομότιμος απορρίπτει ή αγνοεί. Αυτό το μοτίβο είναι η υπογραφή μιας ασυμφωνίας πρωτοκόλλου και όχι ενός αποκλεισμού από τείχος προστασίας.

Ούτε ένα μετονομασμένο προφίλ ούτε μια διαφορετική καταχώριση μενού μετατρέπει το ένα στο άλλο. Μια σύνδεση SSTP δημιουργείται από τις ρυθμίσεις VPN των Windows με διεύθυνση διακομιστή και τα στοιχεία ταυτοποίησης του φορέα, ενώ μια σύνδεση OpenVPN χρειάζεται τον πελάτη και το αντίστοιχο αρχείο ρυθμίσεων. Η προδιαγραφή SSTP της Microsoft περιγράφει την πρώτη και δεν περιγράφει χειραψία OpenVPN.

Η θύρα 443 είναι ευκολία πολιτικής. Περνά δίκτυα που επιτρέπουν λίγα άλλα, και αυτό είναι πραγματικό πλεονέκτημα, αλλά δεν σας λέει τίποτα για το ποιο πρωτόκολλο τρέχει πίσω της.

Το SSTP σηραγγοποιεί PPP μέσα σε HTTPS

Το όνομα περιγράφει την κατασκευή: πλαίσια PPP που μεταφέρονται μέσα σε συνεδρία HTTPS, δηλαδή TLS από κάτω και πιστοποιητικό που ο πελάτης μπορεί να ελέγξει. Τα Windows το περιλαμβάνουν ως εγγενή τύπο VPN, οπότε ένας διαχειριζόμενος φορητός υπολογιστής μπορεί συχνά να συνδεθεί χωρίς πρόσθετο λογισμικό πέρα από το προφίλ που παρέχει ο φορέας.

Οι άλλες πλατφόρμες είναι άλλη ιστορία. Ένας πελάτης Linux ή macOS χρειάζεται συντηρούμενη υλοποίηση, και αυτές διαφέρουν στο τι υποστηρίζουν και πώς αναφέρουν σφάλματα. Ελέγξτε τον πελάτη που σκοπεύετε πραγματικά να χρησιμοποιήσετε αντί να υποθέσετε ότι η ενσωματωμένη δυνατότητα των Windows μεταφέρεται, και επιβεβαιώστε ότι το όνομα διακομιστή στο προφίλ ταιριάζει με το πιστοποιητικό που παρουσιάζει ο διακομιστής.

Το SSTP είναι συνήθως μόνο TCP. Αυτή η μία μεταφορά επηρεάζει το πώς συμπεριφέρεται σε ζεύξη με απώλειες, γιατί η επαναμετάδοση συμβαίνει μέσα στη σήραγγα καθώς και από κάτω.

Το OpenVPN φέρνει τον δικό του πελάτη και μια επιλογή μεταφοράς

Το OpenVPN παρέχει τον δικό του πελάτη και προφίλ, που σας δίνει διαγνωστικά που δεν εκθέτει ένας εγγενής διάλογος των Windows. Ο διακομιστής μπορεί να ακούει σε UDP ή TCP, και η ρύθμιση του φορέα αποφασίζει ποια πρέπει να χρησιμοποιήσει ο πελάτης σας. Ένα προφίλ στραμμένο στη λάθος μεταφορά αποτυγχάνει πριν από την ταυτοποίηση.

Η ταυτοποίηση εξαρτάται εξίσου από τη ρύθμιση. Μια ανάπτυξη μπορεί να απαιτεί μόνο πιστοποιητικά, πιστοποιητικά συν όνομα χρήστη και κωδικό πρόσβασης ή δεύτερο παράγοντα επιπλέον, και ο πελάτης πρέπει να ταιριάζει ακριβώς σε αυτή τη διάταξη. Το ότι μια σύνδεση φτάνει στο στάδιο TLS δεν σας λέει ποια διαπιστευτήρια θα ζητήσει στη συνέχεια.

Το UDP είναι η συνηθισμένη προεπιλογή γιατί αποφεύγει να φωλιάσει ένα αξιόπιστο ρεύμα μέσα σε άλλο αξιόπιστο ρεύμα. Η λειτουργία TCP υπάρχει για δίκτυα που αποκλείουν το UDP, και λειτουργεί, αλλά η μεγάλη απώλεια μπορεί να την κάνει να φαίνεται χειρότερη από τη διαδρομή UDP που αντικατέστησε. Διαλέξτε TCP όταν πρέπει, όχι επειδή ακούγεται πιο αξιόπιστο.

Διαλέξτε με κριτήριο πελάτη, μεταφορά και υποστήριξη

Τρεις ερωτήσεις λύνουν τις περισσότερες από αυτές τις αποφάσεις. Χρειάζεται κάθε συσκευή πελάτη σύνδεση που λειτουργεί χωρίς πρόσθετο λογισμικό; Επιτρέπει το δίκτυο από το οποίο εξαρτάστε UDP, ή είναι το TCP 443 η μόνη έξοδος; Και ποιος υποστηρίζει τον πελάτη, τις ενημερώσεις του και την ανάκτησή του όταν ένα προφίλ λήγει;

Όταν συγκρίνετε τα δύο, δοκιμάστε στην ίδια συσκευή και στο ίδιο δίκτυο πρόσβασης. Αν το τελικό σημείο SSTP και το τελικό σημείο OpenVPN είναι διαφορετικοί διακομιστές ή διαφορετικές τοποθεσίες, το αποτέλεσμά σας περιλαμβάνει αυτές τις διαδρομές και μηχανές αντί να απομονώνει το πρωτόκολλο. Αυτός είναι ο πιο συνηθισμένος τρόπος με τον οποίο τέτοιες συγκρίσεις δίνουν σίγουρη αλλά λανθασμένη απάντηση.

Έπειτα επιβεβαιώστε ποια εγκαταστήσατε πραγματικά πριν αποσφαλματώσετε οτιδήποτε άλλο:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Όπως και να έχει, τελειώστε δοκιμάζοντας τον πόρο και το DNS που χρειάζεστε αντί να κηρύξετε επιτυχία στην κατάσταση της σήραγγας. Και τα δύο πρωτόκολλα μπορούν να ρυθμιστούν ώστε να μεταφέρουν μόνο επιλεγμένη ιδιωτική κίνηση, και μια συνδεδεμένη σήραγγα χωρίς λειτουργική επίλυση ονομάτων μοιάζει με χαλασμένο VPN όταν στην πραγματικότητα είναι σχεδιασμός διαχωρισμένης σήραγγας ή DNS.

Σε διαχειριζόμενο στόλο, η διανομή προφίλ και η υποστήριξη ενημερώσεων αποφασίζουν συνήθως το ζήτημα πολύ πριν από οποιαδήποτε μέτρηση μεταφοράς.