OpenVPN Access Server vs Community: mis tegelikult üle kandub

Profiilid liiguvad; kasutajate nimekirjad jäävad maha. Meeskond, kes läheb üle Access Serveri ja Community Editioni vahel, kohtab seda lünka tund pärast üleminekut, kui tema esimene klient autendib ja tal pole seejärel ei grupipoliitikat, ei kasutajapõhist marsruuti ega iseteeninduslikku parooli lähtestamist. Mõlemad tooted räägivad sama protokolli ja võtavad vastu sama kliendi, ja just seetõttu jääb lünk planeerimise ajal nähtamatuks. Mida te tegelikult valite, on halduskiht ja inimesed, kes seda omavad.

Käsitlege otsust inventuuri küsimusena, mitte funktsioonide tabelina. Küsige, kes loob kasutajaid, kes tühistab sertifikaate ja kes vastab kõnele kell 02:00.

Miks .ovpn fail seadistust kaasa ei kanna

.ovpn profiil kirjeldab ühe kliendi suhet ühe serveriga: kaugserver, protokoll, CA, kliendi sertifikaat ja võti ning mis tahes manustatud tls-crypt materjal. Visake see fail uude paigaldusse ja klient teeb ikkagi kätluse, nii et migratsioon näib valmis. Miski selles ei loetle kasutajaid, nende gruppe, nende staatilisi marsruute ega poliitikat, mis otsustas, kellel üldse lubati ühenduda. Need kirjed elavad serveri enda hoidlas ja kaks toodet hoiustavad neid erineval kujul.

Community Editionis on ekvivalentideks failid, mida te ise hoiate: client-config-dir kirjed, mis sisaldavad kliendipõhiseid valikuid nagu ifconfig-push ja iroute, tühistuste jaoks CRL ja tls-crypt võti. Access Server hoiab samu mõisteid oma andmebaasis ja pakub neid veebikonsooli ning käsureatööriista sacli kaudu. Mõisted vastavad üks-ühele; artefaktid ei liigu üldse.

Profiilid smugeldavad sisse ka käitumist, mida keegi ei märka enne, kui see muutub. Klient, millel on redirect-gateway def1, saadab kogu veebiliikluse serveri kaudu; viige see üle paigaldusse ilma selle reata ja kaebus on, et internet läks katki. CA mittevastavus või vale remote-cert-tls seade ebaõnnestub valjult, mis on hea tulemus. Puuduv tls-crypt võti ebaõnnestub vaikse aegumisena, mis ei ole hea.

Mida halduskiht omab

Loendage see, mis ei ole protokoll: kontode loomine, parooli lähtestamine, gruppidesse määramine, MFA registreerimine, ühendusõigused ja auditi jälg, mis vastab, kes ja millal ühendus. Community Edition ei paku neist ühtegi otse. Te valite autentimise taustaprogrammi, ühendate PAM-i, LDAP-i või RADIUS-e pistikprogrammi või auth-user-pass-verify kaudu ja hoiate ülejäänut ise. Access Server tarnib kasutajaportaali, halduskonsooli ja integratsioonid levinud identiteedipakkujatega. Kumbki lahendus ei ole vaikimisi turvalisem, sest poliitika peab ikka kirjutama keegi, kes võrku tunneb.

Õigused on kõige teravam operatiivne erinevus. Access Serverit litsentsitakse samaaegsete ühenduste arvu järgi ja see arv viiakse tarkvaras täide. Community Editionis on ülemaailmne piir üks max-clients rida, samas kui mis tahes kasutaja või grupi kohta tähendab rohkem client-config-dir tööd ja teie enda jõustamist. Meeskond, kellel pole selle hoolduse vastu isu, ostab täpselt seda, kui maksab kommertstoote eest.

Litsentsimine ja tugi: rida, mida keegi eelarvesse ei pane

Community Edition on tasuta ja avatud lähtekoodiga. Access Server on kommertstoode ja selle tasuta tase on ajalooliselt katnud väikest arvu samaaegseid ühendusi, millest ülespoole kehtib tasuline litsents. Igasugune vanas foorumivastuses tsiteeritud number on nüüdseks aegunud, seega kontrollige enne projekti kulude arvutamist tarnija kehtivaid tingimusi. Aus võrdlus lisab kogukonna poolel kasutajahalduse, MFA ja seire ehitamisele kulunud tunnid kommertspoolsele litsentsireale.

Tugivastutus järgib sama jaotust. Community Editioniga olete te eskaleerimistee iga veidra kliendi ja iga kerneli uuenduse jaoks. Access Serveriga on teil tarnija, kellele helistada, ja te pärite tema väljalaske rütmi, kas see sobib teie muudatuste aknasse või mitte.

Kontrollid enne üleminekut

Enne üleminekut ükskõik kumba suunda tehke inventuur, mida töötav server tegelikult hoiab. Access Serveri poolel eksportige kasutajate nimekiri ja gruppide määramised ning märkige, millised kontod sõltuvad MFA-st. Community Editioni poolel loetlege välja antud sertifikaadid, CRL ja iga fail client-config-dir all. Võrrelge kahte nimekirja rida-realt, sest nende vahe on migratsioonitöö.

Testige esinduslikke kliente, kui vana teenus veel töötab. openvpn --config client.ovpn --verb 4 esiplaanil prindib kätluse, saadetud marsruudid ja DNS-valikud ning openssl x509 -in client.crt -noout -subject -enddate näitab, millist sertifikaati klient tegelikult esitab. Kliendil, kes ühendub, kuid ei jõua sisemise hostini, on lünk marsruudis või iroute-s, mitte autentimistõrge.

Hoidke vana taastetee elus, kuni asendaja läbib nii keelatud juurdepääsu testi kui ka õnnestunud testi. Kirjutage lõplik kaart ühele lehele: iga nõue, artefakt, mis seda täna rahuldab, ja artefakt, mis rahuldab seda hiljem.