SSTP در برابر OpenVPN: همان پورت 443، پروتکل متفاوت

هر دو گزینه می‌توانند پشت TCP 443 باشند، بنابراین مردم فرض می‌کنند دو نقطه پایانی قابل تبادلاند. چنین نیست: SSTP سرور PPP را درون HTTPS صحبت می‌کند، در حالی که سرور OpenVPN پروتکل خودش را روی TLS یا از طریق جریان خام UDP صحبت می‌کند. اشاره یک کلاینت به پورت دیگری اتصالی می‌سازد که هرگز به صفحه ورود نمی‌‌رسد. انتخاب درباره این است که چه کلاینت و چه انتقالی را می‌توانید پشتیبانی کنید، نه درباره شماره.

پورت مشترک، پروتکل مشترک نمی‌‌سازد

دستدادن TLS می‌تواند کامل شود و باز به جایی نرسد، چون پس از آن کلاینت و سرور درباره اینکه بعد چه بگویند توافق ندارند. در ضبط بسته‌ها دستدادن تمیزی میبینید که دادههای برنامهای ردشده یا نادیدهگرفتهشده توسط طرف مقابل دنبال می‌شود. این الگو امضای ناسازگاری پروتکل است، نه مسدودسازی توسط دیوار آتش.

نه یک پروفایل تغییرنامیافته و نه یک ورودی منوی متفاوت یکی را به دیگری تبدیل نمی‌‌کند. اتصال SSTP از تنظیمات VPN ویندوز با یک آدرس سرور و جزئیات احراز هویت اپراتور ساخته می‌شود، در حالی که اتصال OpenVPN به کلاینت و فایل پیکربندی متناظر نیاز دارد. مشخصات SSTP مایکروسافت مورد اول را توصیف می‌کند و دستدادن OpenVPN را توصیف نمی‌‌کند.

پورت 443 یک راحتی سیاستی است. از شبکه‌هایی می‌گذرد که چیز کمی جز آن را مجاز می‌کنند، و این مزیت واقعی است، اما چیزی درباره اینکه کدام پروتکل پشت آن اجرا می‌شود نمی‌‌گوید.

SSTP پروتکل PPP را درون HTTPS تونل می‌کند

نام، ساختار را توصیف می‌کند: قابهای PPP که درون یک نشست HTTPS حمل می‌شوند، یعنی TLS در زیر و گواهیای که کلاینت می‌تواند بررسی کند. ویندوز این را به عنوان نوع VPN بومی شامل می‌شود، بنابراین یک لپتاپ مدیریتشده اغلب می‌تواند بدون نرمافزار اضافی جز پروفایلی که اپراتور ارائه می‌کند متصل شود.

پلتفرمهای دیگر داستان دیگری هستند. کلاینت Linux یا macOS به یک پیادهسازی نگهداریشده نیاز دارد، و این پیادهسازیها در اینکه چه چیزی را پشتیبانی می‌کنند و چگونه خطا گزارش میدهند متفاوتاند. کلاینتی را که واقعاً قصد دارید استفاده کنید بررسی کنید، نه اینکه فرض کنید قابلیت داخلی ویندوز منتقل می‌شود، و تأیید کنید که نام سرور در پروفایل با گواهیای که سرور ارائه می‌کند مطابقت دارد.

SSTP معمولاً فقط TCP است. همین یک انتقال بر رفتار آن روی پیوند پرافت تأثیر میگذارد، چون بازفرستی هم درون تونل و هم در زیر آن رخ می‌دهد.

OpenVPN کلاینت خودش و یک انتخاب انتقال می‌آورد

OpenVPN کلاینت و پروفایل خودش را عرضه می‌کند، که تشخیصی به شما می‌دهد که گفتوگوی بومی ویندوز آن را نشان نمی‌‌دهد. سرور می‌تواند روی UDP یا TCP گوش دهد، و پیکربندی اپراتور تعیین می‌کند کلاینت شما باید کدام را استفاده کند. پروفایلی که به انتقال اشتباه اشاره کند پیش از احراز هویت شکست میخورد.

احراز هویت به همان اندازه پیکربندیمحور است. یک استقرار می‌تواند فقط گواهی، گواهی به همراه نام کاربری و گذرواژه، یا یک عامل دوم روی آن بخواهد، و کلاینت باید دقیقاً با این ترتیب مطابقت کند. اینکه اتصالی به مرحله TLS برسد نمی‌‌گوید بعداً چه اعتبارنامهای خواهد خواست.

UDP پیشفرض معمول است چون از تودرتو کردن یک جریان مطمئن در جریان مطمئن دیگر دوری می‌کند. حالت TCP برای شبکه‌هایی وجود دارد که UDP را مسدود می‌کنند، و کار می‌کند، اما افت سنگین می‌تواند آن را بدتر از مسیر UDP که جایگزینش شده احساسپذیر کند. وقتی مجبورید TCP را انتخاب کنید، نه چون مطمئنتر به نظر می‌رسد.

بر اساس کلاینت، انتقال و پشتیبانی انتخاب کنید

سه پرسش بیشتر این تصمیمها را روشن می‌کند. آیا هر دستگاه کلاینت به اتصالی نیاز دارد که بدون هیچ نرمافزار اضافی کار کند؟ آیا شبکهای که به آن وابستهاید UDP را مجاز می‌کند، یا TCP 443 تنها خروجی است؟ و چه کسی از کلاینت، به‌روزرسانی‌ها و بازیابی آن هنگام انقضای پروفایل پشتیبانی می‌کند؟

وقتی آن دو را مقایسه می‌کنید، روی همان دستگاه و همان شبکه دسترسی آزمایش کنید. اگر نقطه پایانی SSTP و نقطه پایانی OpenVPN سرورهای متفاوت یا سایتهای متفاوت باشند، نتیجه شما آن مسیرها و ماشینها را شامل می‌شود نه اینکه پروتکل را جدا کند. این رایجترین راهی است که چنین مقایسههایی پاسخی مطمئن اما نادرست میدهند.

سپس پیش از عیبیابی هر چیز دیگر، تأیید کنید کدام یک را واقعاً برقرار کردهاید:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

در هر صورت، کار را با آزمایش منبع و DNSی که نیاز دارید تمام کنید، نه با اعلام موفقیت در وضعیت تونل. هر دو پروتکل را می‌توان طوری پیکربندی کرد که فقط ترافیک خصوصی انتخابشده را حمل کنند، و تونل متصل بدون تجزیه نام کاربردی شبیه VPN خراب به نظر می‌رسد، در حالی که در واقع طراحی تونل تقسیمشده یا DNS است.

در ناوگانی مدیریتشده، توزیع پروفایل و پشتیبانی بهروزرسانی معمولاً این پرسش را خیلی پیش از هر سنجش انتقال روشن می‌کند.