Ni uzas OpenVPN: protokolo, motoro aŭ aplikaĵo? Kion demandi anstataŭe

La frazo «ni uzas OpenVPN» alvenas en biletoj, aĉetaj formularoj kaj enkondukaj dokumentoj, kaj ĝi respondas malsaman demandon en ĉiu el ili. Foje ĝi nomas sendan protokolon, foje la programaron sur pordego, kaj foje la aplikaĵon, kiun nova dungito devus instali. Tiuj tri faktoj kondukas al malsamaj sekvaj paŝoj, kaj demandi kiun oni celas daŭras malpli longe ol konjekti. La resto de la esploro sekvas el tiu respondo.

Komencu apartigante la rolon disde la marko, ĉar la marko kovras ĉiujn tri.

La nomo kovras tri rolojn, kiuj malsukcesas malsame

Kiel protokolo, OpenVPN priskribas kiel kongruaj samtavolanoj starigas tunelon kaj protektas tion, kio trapasas ĝin. Kiel programaro, ĝi estas efektivigo, kiu parolas tiun protokolon en klienta aŭ servila rolo. Kiel kliento, ĝi estas aplikaĵo, kiun iu instalas, kun propra versio, profila formato kaj platformaj strangetoj. Malsukceso en unu rolo ne implicas malsukceson en alia, kaj tial «OpenVPN estas malsupre» bezonas subjekton.

Demandu, kion la raportanto povas vidi: profilan dosieron, instalitan programon aŭ pordegon, kiun ĝi administras. Tiu unu detalo diras al vi, ĉu la sekva paŝo estas klienta protokolo, demando pri la pakaĵo aŭ kontrolo de aŭskultanto ĉe la servila flanko.

OpenVPN 2 kaj OpenVPN 3 ne estas ĝisdatiga paro

OpenVPN 2.x funkcias kaj en servila kaj en klienta rolo, kaj ĝi estas tio, kion plej multaj pordegaj deplojoj ankoraŭ uzas. OpenVPN 3 estas aparta klientorientita efektivigo kun propra agordo kaj sesia modelo, ne la sekva eldono, kiun vi instalas sur 2.x-servilon. OpenVPN Connect estas klienta aplikaĵo konstruita sur la OpenVPN 3-motoro. Instali iun ajn el ili ne kreas interretan elirservon; la eliro estas tio, kion agordis la operatoro.

Kongrueco je protokola nivelo ne etendiĝas al profildirektivoj, do profilo, kiu enportiĝas pure, ankoraŭ povas malsukcesi ĉe direktivo, kiun la kliento ne efektivigas.

La transporto ne estas la aplikaĵo interne

La ekstera konekto uzas transporton kiel UDP aŭ TCP por atingi agorditan aŭskultanton, kaj ĉio, kion la tunelo portas, vojaĝas interne de ĝi. Reta peto farita tra la VPN ne bezonas propran OpenVPN-aŭskultanton, kaj ĝi ne fariĝas OpenVPN-paketo sur la drato. En TLS-reĝimo la rega kanalo intertraktas ŝlosilmaterialon dum la datena kanalo protektas la utilan ŝarĝon, kaj tio estas apartigo, kiun indas teni ĝuste kiam vi legas protokolojn.

Konfuzi la tavolojn produktas petojn kiel malfermi pordon por retejo, kiu jam funkcias tra la tunelo. La pordo apartenas al la ekstera konekto, ne al la aplikaĵo.

Kion profilo povas promesi kaj kion ne

Profilo diras al unu kliento kiel atingi unu servon: finpunkto, transporto, identeca materialo kaj ofte iuj enkursigaj kaj DNS-preferoj. Ĝi diras nenion pri tio, kiu funkciigas tiun servon aŭ ĉu la konto estas rajtigita. Itineroj, agordoj de la solvilo, plusendaj reguloj kaj alirpolitiko decidas, kion la sesio efektive atingas. Profilo, kiu sukcese enportiĝas, estas la komenco de funkcianta konekto, ne pruvo pri ĝi.

Kiam iu demandas, ĉu rimedo atingeblas tra la VPN, la respondo dependas de la politiko de la servilo kaj ne de la agorda dosiero de la kliento.

Petu la aferon, kiu povas esti provizita

Turnu la vastan nomon en tri konkretaĵojn: la kliento kaj ĝia versio, la rajtigita profilo por tiu kliento, kaj la rimedo, kiun la persono bezonas atingi. Kun tiuj, provizado estas konkreta tasko. Sen tiuj, ĉiu respondo estas konjekto pri tio, kiun OpenVPN la demando celis.

Notu la respondon en la peto mem. La sekva bileto demandos la saman demandon same ambigue.