OpenVPN Access Server vs Community: zer migratzen den benetan

Profilak mugitu egiten dira; erabiltzaileen zerrendak atzean geratzen dira. Access Server eta Community Edition artean aldatzen den taldeak hutsune hori topatzen du aldaketaren ordubetean, bere lehen bezeroak autentifikatu eta gero talde-politikarik, erabiltzaile bakoitzeko ibilbiderik eta autozerbitzuko pasahitz-berrezarpenik ez duenean. Bi produktuek protokolo bera hitz egiten dute eta bezero bera onartzen dute, eta horrexegatik pasatzen da hutsunea ikusezin plangintzan zehar. Benetan aukeratzen ari zarena kudeaketa-geruza eta hura daukan jendea da.

Hartu erabakia inbentario-galera gisa, ez ezaugarri-taulaz. Galdetu nork sortzen dituen erabiltzaileak, nork baliogabetzen dituen ziurtagiriak eta nork erantzuten dion 02:00ko deialdiari.

Zergatik ez duen .ovpn fitxategiak konfigurazioa eramaten

.ovpn profil batek bezero baten eta zerbitzari baten arteko erlazioa deskribatzen du: urruneko ostalaria, protokoloa, CA, bezero-ziurtagiria eta gakoa, eta edozein tls-crypt material barruan. Bota fitxategi hori instalazio berri batean eta bezeroak oraindik handiketa osatzen du, beraz migrazioa amaituta ematen du. Ezerk ez ditu zerrendatzen erabiltzaileak, haien taldeak, haien ibilbide estatikoak edo nork konektatu zitekeen erabaki zuen politika. Erregistro horiek zerbitzariaren biltegian bertan bizi dira, eta bi produktuek forma ezberdinetan gordetzen dituzte.

Community Edition-en baliokideak zuk mantentzen dituzun fitxategiak dira: client-config-dir sarrerak bezero bakoitzeko aukerekin, hala nola ifconfig-push eta iroute, baliogabetzeetarako CRL bat eta tls-crypt gakoa. Access Serverrek kontzeptu berak gordetzen ditu bere datu-basean eta web-kontsola eta sacli komando-lerroko tresnaren bidez erakusten ditu. Kontzeptuek bat datoz bat-batean; artefaktuek ez dute batere mugitzen.

Profilek inork aldatzen den arte nabaritzen ez duen portaera ere sartzen dute isilpean. redirect-gateway def1 duen bezero batek nabigazio osoa zerbitzariaren bidez bidaltzen du; eraman ezazu lerro hori gabeko instalazio batera eta kexa interneta hondatu dela izango da. CA desadostasunak edo remote-cert-tls ezarpen okerrak ozenki huts egiten du, eta hori da emaitza ona. tls-crypt gako faltak isiliko denbora-muga gisa huts egiten du, eta hori ez da ona.

Zer duen kudeaketa-geruzak

Zenbatu protokoloa ez dena: kontuen sorrera, pasahitzen berrezarpena, talde-esleipena, MFA izen-ematea, konexio-eskubideak eta nor noiz konektatu zen erantzuten duen auditoretza-arrastoa. Community Editionek ez du horietako bat ere zuzenean ematen. Autentifikazio-backend bat aukeratzen duzu, PAM, LDAP edo RADIUS plugin edo auth-user-pass-verify baten bidez konektatzen duzu, eta gainerakoa zuk zeuk mantentzen duzu. Access Serverrek erabiltzaile-ataria, administrazio-kontsola eta identitate-hornitzaile ohikoekiko integrazioak dakartza. Bi antolaketak ez dira berez seguruagoak, politikak sareak ezagutzen duen norbaitek idatzi behar baitu oraindik.

Eskubideak dira diferentzia operatiborik zorrotzena. Access Server lizentziatzen da aldi bereko konexio-kopuruaren arabera eta kopuru hori softwarez betearazten du. Community Edition-en, muga globala max-clients lerro bakarra da, eta erabiltzaile edo talde bakoitzeko edozerk client-config-dir lan gehiago eta zure betearazpena esan nahi du. Mantentze-lan horretarako gogorik ez duen taldeak hain zuzen hori erosten du produktu komertzialaren truke ordaintzen duenean.

Lizentziak eta laguntza: inork aurrekontuan jartzen ez duen partida

Community Edition doakoa eta kode irekikoa da. Access Server komertziala da, eta bere doako mailak historikoki aldi bereko konexio kopuru txiki bat estali du, horren gainetik lizentzia ordaindua delarik. Foroko erantzun zahar batean aipatutako edozein kopuru zaharkituta dago jada, beraz egiaztatu hornitzailearen egungo baldintzak proiektua kostatu aurretik. Konparaketa zintzoak komunitate aldean erabiltzaileen kudeaketa, MFA eta monitorizazioa eraikitzeko orduak gehitzen dizkio alde komertzialeko lizentzia-lerroari.

Laguntzaren jabetzak banaketa berari jarraitzen dio. Community Edition-ekin zu zara eskalatze-bidea bezero arraro bakoitzeko eta kernel eguneraketa bakoitzeko. Access Server-ekin hornitzaile bat duzu deitzeko, eta haren bertsio-erritmoa heredatzen duzu, zure aldaketa-leihoan sartzen den ala ez.

Aldaketaren aurretik egin beharreko egiaztapenak

Inbentariatu exekutatzen ari den zerbitzariak benetan zer daukan, edozein norabidetako aldaketaren aurretik. Access Server aldean, esportatu erabiltzaile-zerrenda eta talde-esleipenak eta ohartu zein kontuk MFAren mende dauden. Community Edition aldean, zerrendatu igorritako ziurtagiriak, CRL eta client-config-dir azpiko fitxategi bakoitza. Konparatu bi zerrendak lerroz lerro, haien arteko aldea migrazio-lana baita.

Probatu ordezkaritzako bezeroak zerbitzu zaharra oraindik martxan dagoela. openvpn --config client.ovpn --verb 4 aurreko planoan handiketa, bidalitako ibilbideak eta DNS aukerak inprimatzen ditu, eta openssl x509 -in client.crt -noout -subject -enddate bezeroak benetan zein ziurtagiri aurkezten duen erakusten du. Konektatzen den baina barneko ostalarira iristen ez den bezeroak ibilbide edo iroute hutsunea du, ez autentifikazio-hutsegitea.

Mantendu bizirik berreskuratze-bide zaharra ordezkoak ukatuako sarbidearen proba bat gainditzen duen arte eta arrakastatsua ere bai. Idatzi azken mapa orrialde bakarrean: baldintza bakoitza, gaur egun betetzen duen artefaktua eta geroago beteko duen artefaktua.