OpenVPN või IKEv2: neli kontrolli enne protokolli valimist

Valikut OpenVPN-i ja IKEv2 vahel arutatakse tavaliselt protokolli küsimusena ja seesugune raamistus raiskab otsuse. Selle otsustab hoopis see, kas sinu server ja sinu seadmed toetavad sama täielikku profiili ning kas see profiil peab vastu sellele, kuidas sa võrkude vahel liigud. Need kaks virna ei tõlgi üksteiseks: OVPN-fail ei ole erineva süntaksiga IKEv2 profiil. Neli kontrolli järjestikku läbi viiduna vastavad küsimusele kiiremini kui ükski funktsioonitabel.

Puuduv klient lõpetab arutelu

Windows ja macOS tarnivad IKEv2 kliendi, seega IKEv2 profiil ei maksa seal juurutamisel midagi lisaks ja pärib seadistusvalikud, mida operatsioonisüsteem juba pakub. OpenVPN samadel masinatel tähendab kolmanda osapoole klienti, mida tuleb paigaldada, uuendada ja toetada, ning see klient peab aktsepteerima iga valikut, mida profiil kasutab. Loenda platvormid, mida pead katma, enne kui midagi muud võrdled, sest platvorm ilma töötava kliendita ei ole üldse võrdlusalus.

Windowsis loetleb üks käsk juba olemasolevad profiilid ja näitab, mis tüüpi igaüks on. Nimi, mille see välja trükib, on nimi, mida hilisemad kontrollid kasutavad.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Palve klient paigaldada on nendel platvormidel OpenVPN-i veeru tegelik vastus ja see on juurutamisülesanne, mitte protokolli piirang. Kumbki lahendus ei eemalda usalduskontrolle, identiteedi tuvastamist ega hooldust. Küsi, kuidas profiile jagatakse, kuidas volitusi uuendatakse ja kuidas kadunud seade eemaldatakse, enne kui kohustud. Lihtne paigaldus võib siiski peita taastamisprotsessi, mida keegi nädalavahetusel käivitada ei taha.

Mobiilsus on ühine seade, mitte protokolli lubadus

IKEv2 saab MOBIKE-t kasutada, kui mõlemad otsad seda toetavad ja lubavad, mis võimaldab kliendil tunnelit hoida, samal ajal kui selle aadress muutub. RFC 4555 määratleb selle laiendi ja tingimuslik sõnastus on oluline: server, mis seda võimet eirab, läbiräägib selle asemel uuesti. Tulemus võib failiülekandel tunduda sama ja otsekõnes hoopis teistsugune.

Katseta üleminekut, mis sulle tegelikult korda läheb, mil midagi jookseb ja on jälgitav. Jäta ping -t <internal-host> Windowsis tööle või tavaline ping mujal, seejärel vaheta Wi-Fi-lt mobiilivõrku ja jälgi katkestusi. MOBIKE tõrge ilmub kliendi logis täieliku taasautentimisena, mitte vaikse aadressiuuendusena. Sa mõõdad, kas tunnel muutuse üle elab, mitte seda, kas protokoll reklaamib tuge.

OpenVPN-i kliendid taastavad ühenduse oma platvormikäitumise ja profiili taimerite järgi, seega võib sama katse anda teistsuguse katkestuse kuju. Võrdle sündmust, mis on sinu kasutajatele oluline, mitte protokolli silti.

Volitused kuuluvad teenusele, mitte virnale

Sertifikaadid ja muud sisselogimiskorraldused kuuluvad teenusele, mis ühenduse lõpetab. Parooli küsimine ühes kliendis ei ütle midagi ühilduvuse kohta teisega ja profiil, mis töötab teise lüüsi vastu, ei ütle midagi selle kohta. Hoia serveri identiteedireeglid puutumatuna, kui kahte virna võrdled. Protokolli vahetamine enne rikke tuvastamist tekitab tavaliselt teise sobimatu profiili.

Uuri volitust, mille klient esitab, enne kui kummagi protokolli süüdistad, sest aegunud või valesti välja antud sertifikaat ebaõnnestub mõlemas ühtemoodi. Allolev väljund näitab subjekti, väljaandjat ja kehtivuskuupäevi ilma privaatvõtit lugemata.

openssl x509 -in client.crt -noout -subject -issuer -dates

Ettevõtte ühenduse jaoks kasuta meetodit, mille ettevõte avaldab, ja lõpeta võrdluse kohtlemine katsena. Kui võrdled neid kahte enda jaoks, kontrolli esmalt, kas mõlemad valikud lõpevad ühes lüüsis, sest see üks detail otsustab, kui suur osa sinu tulemusest puudutab protokolli. Keeldumine, mis nimetab volitust, on volituse probleem ja ükski protokollivahetus ei paranda seda.

Kontrolli, mida tunnel tegelikult marsruudib

Pärast ühendamist kinnita, et vajalik marsruut on olemas ja nimed lahendatakse. Siseressursside jaoks loodud profiil võib tavalise sirvimise kavatsuslikult kohalikule teele jätta ja see on poliitika otsus, mitte rike. Oluline on, kas sinu meeskonna kasutatavad sihtkohad on tunneli kaudu kättesaadavad.

Windowsis katavad marsruudi ja nimeotsingu kaks käsku. Linuxi vaste on ip route show default ja resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Tunnel, mis tõuseb üles ega marsruudi midagi kasulikku, on tavaline tulemus, kui profiil kopeeriti teenuste vahel, ja üldine ühenduvustest ei näita seda, sest liides on üleval. Testi ressurssi, mille sinu kasutajad esimesena avavad, mitte avalikku aadressi, kuhu iga tee ulatub. Kui nimi lahendub avalikuks aadressiks, samal ajal kui marsruut osutab tunnelisse, kuuluvad DNS-vastus ja marsruut eri otsuste juurde ning mõlemad tuleb parandada.

Kaalu hooldust pärast kontrolle

Kumbki protokoll ei ole abstraktselt hooldatavam. Hooldus sõltub sellest, kes lüüsi käitab, kuidas profiilid seadmetesse jõuavad ja kui kiiresti kadunud seade juurdepääsu kaotab. Lihtne lõpp-punkti klient võib seista raskemini käitatava serveri ees ja vastupidi juhtub ka. Küsi, kumba kahest su meeskond suudab töös hoida pärast seda, kui selle ehitaja lahkub.

Vali toetatud ühendus, mis töö katab, ja testi seda seejärel juurdepääsu vastu, mida sa tegelikult vajad, mitte funktsioonide nimekirja vastu. Kirjuta üles, millises lüüsis iga valik lõpeb, sest kaks erinevat lüüsi teevad võrdluse sama palju marsruutide kui protokollide küsimuseks. Korda nelja kontrolli seadmel, mida sa tegelikult kaasas kannad, ja jäta alles profiil, mis sellel läbib.