SSTP vs OpenVPN: sama port 443, erinev protokoll

Mõlemad valikud võivad seista TCP 443 taga, mistõttu inimesed eeldavad, et need on vahetatavad lõpp-punktid. Need ei ole: SSTP server räägib PPP-d HTTPS-i sees, samal ajal kui OpenVPN-i server räägib oma protokolli TLS-i kohal või toore UDP-voona kaudu. Ühe kliendi suunamine teise pordile loob ühenduse, mis ei jõua kunagi sisselogimiskutseni. Valik puudutab seda, millist klienti ja transporti saate toetada, mitte numbrit.

Jagatud port ei tee jagatud protokolli

TLS-i kätlus võib lõppeda ja ikkagi mitte kuhugi viia, sest seejärel ei ole klient ja server ühel meelel, mida järgmisena öelda. Paketisalvestuses näete puhast kätlust, millele järgnevad rakenduse andmed, mille vastaspool tagasi lükkab või eirab. See muster on protokollide sobimatuse tunnus, mitte tulemüüri blokeering.

Ei ümbernimetatud profiil ega teine menüükirje ei muuda üht teiseks. SSTP-ühendus luuakse Windowsi VPN-i seadetes serveri aadressi ja operaatori autentimisandmetega, samal ajal kui OpenVPN-ühendus vajab klienti ja sobivat konfiguratsioonifaili. Microsofti SSTP-spetsifikatsioon kirjeldab esimest ega kirjelda OpenVPN-i kätlust.

Port 443 on poliitika mugavus. See pääseb läbi võrkudest, mis lubavad vähe muud, ja see on tõeline eelis, kuid ei ütle midagi selle kohta, milline protokoll selle taga töötab.

SSTP tunnelib PPP-d HTTPS-i sees

Nimi kirjeldab konstruktsiooni: HTTPS-i sessiooni sees kantavad PPP-kaadrid, mis tähendab TLS-i all ja sertifikaati, mida klient saab kontrollida. Windows sisaldab seda natiivse VPN-tüübina, nii et hallatav sülearvuti saab sageli ühenduse luua ilma lisatarkvarata peale operaatori antud profiili.

Teised platvormid on hoopis teine lugu. Linuxi või macOS-i klient vajab hooldatavat teostust ja need erinevad selle poolest, mida nad toetavad ja kuidas vigu teatavad. Kontrollige klienti, mida te tegelikult kasutada kavatsete, selle asemel et eeldada Windowsi sisseehitatud võimekuse ülekandumist, ja kinnitage, et profiilis olev serveri nimi vastab sertifikaadile, mille server esitab.

SSTP on tavaliselt ainult TCP. See üksik transport mõjutab, kuidas see kadudega lingil käitub, sest kordussaatmine toimub nii tunneli sees kui ka selle all.

OpenVPN toob oma kliendi ja transpordi valiku

OpenVPN tarnib oma kliendi ja profiili, mis annab teile diagnostika, mida natiivne Windowsi dialoog ei näita. Server saab kuulata UDP või TCP peal ja operaatori konfiguratsioon otsustab, millist teie klient peab kasutama. Valele transpordile suunatud profiil ebaõnnestub enne autentimist.

Autentimine sõltub samavõrd konfiguratsioonist. Juurutamine võib nõuda ainult sertifikaate, sertifikaate pluss kasutajanime ja parooli või teist tegurit peale selle, ja klient peab selle korraldusega täpselt vastama. See, et ühendus jõuab TLS-i faasi, ei ütle, milliseid volitusi see järgmisena küsib.

UDP on tavaline vaikeväärtus, sest see väldib usaldusväärse voo pesastamist teise usaldusväärsesse voogu. TCP-režiim on olemas võrkude jaoks, mis blokeerivad UDP-d, ja see töötab, kuid suur kadu võib muuta selle halvemaks kui UDP-tee, mille see asendas. Valige TCP, kui peate, mitte sellepärast, et see kõlab usaldusväärsemalt.

Valige kliendi, transpordi ja toe järgi

Kolm küsimust lahendavad enamiku nendest otsustest. Kas iga kliendiseade vajab ühendust, mis töötab ilma lisatarkvarata? Kas võrk, millest te sõltute, lubab UDP-d, või on TCP 443 ainus väljapääs? Ja kes toetab klienti, selle värskendusi ja taastamist, kui profiil aegub?

Kui neid kahte võrdlete, testige samal seadmel ja samas juurdepääsuvõrgus. Kui SSTP lõpp-punkt ja OpenVPN-i lõpp-punkt on erinevad serverid või erinevad kohad, sisaldab teie tulemus neid marsruute ja masinaid, selle asemel et protokolli isoleerida. See on kõige tavalisem viis, kuidas sellised võrdlused annavad enesekindla, kuid vale vastuse.

Seejärel kinnitage, millise te tegelikult lõite, enne kui midagi muud silute:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Ükskõik kuidas, lõpetage selle ressursi ja DNS-i testimisega, mida vajate, selle asemel et kuulutada edu tunneli olekus. Mõlemat protokolli saab konfigureerida kandma ainult valitud privaatset liiklust, ja ühendatud tunnel ilma toimiva nimelahenduseta näeb välja nagu katkine VPN, kui see tegelikult on split-tunneli või DNS-i disain.

Hallatavas pargis otsustavad profiilide levitamine ja värskenduste tugi küsimuse tavaliselt ammu enne mis tahes transpordi mõõtmist.