OpenVPN vai IKEv2: neljä tarkistusta ennen protokollan valintaa

Valintaa OpenVPN:n ja IKEv2:n välillä käydään yleensä protokollakysymyksenä, ja sellainen kehys tuhlaa päätöksen. Sen ratkaisee se, tukevatko palvelimesi ja laitteesi samaa täydellistä profiilia ja kestääkö profiili sen tavan, jolla liikut verkkojen välillä. Kaksi pinoa eivät käänny toisikseen: OVPN-tiedosto ei ole eri syntaksilla kirjoitettu IKEv2-profiili. Neljä tarkistusta järjestyksessä tehtynä vastaavat kysymykseen nopeammin kuin mikään ominaisuustaulu.

Puuttuva asiakasohjelma lopettaa keskustelun

Windows ja macOS toimittavat IKEv2-asiakasohjelman, joten IKEv2-profiili ei maksa siellä ylimääräistä käyttöönotossa ja perii käyttöjärjestelmän jo tarjoamat valmisteluasetukset. OpenVPN samoilla koneilla tarkoittaa kolmannen osapuolen asiakasohjelmaa, joka on asennettava, päivitettävä ja tuettava, ja sen on hyväksyttävä jokainen profiilin käyttämä asetus. Laske alustat, jotka sinun on katettava, ennen kuin vertaat mitään muuta, sillä alusta ilman toimivaa asiakasohjelmaa ei ole lainkaan vertailukohta.

Windowsissa yksi komento luettelee jo olemassa olevat profiilit ja näyttää, mitä tyyppiä kukin on. Tulostettu nimi on nimi, jota myöhemmät tarkistukset käyttävät.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Kehotus asentaa asiakasohjelma on näillä alustoilla OpenVPN-sarakkeen todellinen vastaus, ja se on käyttöönottotehtävä eikä protokollan rajoitus. Kumpikaan järjestely ei poista luottamustarkistuksia, henkilöllisyyden vahvistusta tai ylläpitoa. Kysy, miten profiilit jaetaan, miten tunnistetiedot uusitaan ja miten kadonnut laite poistetaan, ennen kuin sitoudut. Yksinkertainen asennus voi silti kätkeä palautusprosessin, jota kukaan ei halua ajaa viikonloppuna.

Liikkuvuus on yhteinen asetus, ei protokollan lupaus

IKEv2 voi käyttää MOBIKEa, kun molemmat päät tukevat ja ottavat sen käyttöön, mikä antaa asiakasohjelman pitää tunnelinsa osoitteen vaihtuessa. RFC 4555 määrittelee laajennuksen, ja ehdollinen muotoilu on tärkeää: palvelin, joka jättää ominaisuuden huomiotta, neuvottelee sen sijaan uudelleen. Tulos voi näyttää samalta tiedostonsiirrossa ja hyvin erilaiselta käynnissä olevassa puhelussa.

Testaa siirtymää, jolla on sinulle todella merkitystä, kun jotain on käynnissä ja voit seurata sitä. Pidä ping -t <internal-host> käynnissä Windowsissa tai tavallinen ping muualla, vaihda sitten Wi-Fistä matkapuhelinverkkoon ja seuraa katkoja. MOBIKE-virhe näkyy asiakasohjelman lokissa täydellisenä uudelleentodennuksena eikä hiljaisena osoitteen päivityksenä. Mittaat sitä, kestääkö tunneli muutoksen, et sitä, mainostaako protokolla tukea.

OpenVPN-asiakasohjelmat yhdistävät uudelleen oman alustakäyttäytymisensä ja profiilin ajastimien mukaan, joten sama testi voi tuottaa erimuotoisen katkoksen. Vertaa tapahtumaa, jolla on merkitystä käyttäjillesi, älä protokollan tarraa.

Tunnistetiedot kuuluvat palvelulle, eivät pinolle

Varmenteet ja muut kirjautumisjärjestelyt kuuluvat palvelulle, joka päättää yhteyden. Salasanakehote yhdessä asiakasohjelmassa ei kerro mitään yhteensopivuudesta toisen kanssa, eikä profiili, joka toimii toista yhdyskäytävää vasten, kerro mitään tästä. Pidä palvelimen identiteettisäännöt ehjinä, kun vertaat kahta pinoa. Protokollan vaihtaminen ennen vian tunnistamista tuottaa yleensä toisen yhteensopimattoman profiilin.

Tarkastele tunnistetietoa, jonka asiakasohjelma esittää, ennen kuin syytät kumpaakaan protokollaa, sillä vanhentunut tai väärin myönnetty varmenne epäonnistuu molemmissa samalla tavalla. Alla oleva tuloste näyttää kohteen, myöntäjän ja voimassaolopäivät lukematta yksityistä avainta.

openssl x509 -in client.crt -noout -subject -issuer -dates

Käytä yrityksen yhteydessä menetelmää, jonka yritys julkaisee, ja lakkaa kohtelemasta vertailua kokeena. Jos vertailet kahta itse itsellesi, tarkista ensin, päättyvätkö molemmat vaihtoehdot yhteen yhdyskäytävään, sillä juuri tämä yksityiskohta ratkaisee, kuinka paljon tuloksestasi koskee protokollaa. Hylkäys, joka nimeää tunnistetiedon, on tunnistetietojen ongelma, eikä mikään protokollan vaihto korjaa sitä.

Tarkista, mitä tunneli todella reitittää

Vahvista yhteyden jälkeen, että tarvitsemasi reitti on olemassa ja että nimet ratkeavat. Sisäisiä resursseja varten oleva profiili voi jättää tavallisen selailun paikalliselle polulle suunnittelun mukaan, ja se on käytäntöpäätös eikä vika. Merkityksellistä on, ovatko tiimisi käyttämät kohteet tunnelin kautta saavutettavissa.

Kaksi komentoa kattavat reitin ja nimihaun Windowsissa. Linuxin vastineet ovat ip route show default ja resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Tunneli, joka nousee pystyyn eikä reititä mitään hyödyllistä, on tavallinen tulos, kun profiili on kopioitu palvelujen välillä, eikä yleinen yhteyden testi näytä sitä, koska liitäntä on ylhäällä. Testaa resurssi, jonka käyttäjäsi avaavat ensimmäisenä, älä julkista osoitetta, johon mikä tahansa polku pääsee. Jos nimi ratkeaa julkiseksi osoitteeksi samalla kun reitti osoittaa tunnelin sisään, DNS-vastaus ja reitti kuuluvat eri päätöksiin ja molemmat on korjattava.

Punnitse ylläpito tarkistusten jälkeen

Kumpikaan protokolla ei ole abstraktisti ylläpidettävämpi. Ylläpito riippuu siitä, kuka yhdyskäytävää operoi, miten profiilit päätyvät laitteisiin ja miten nopeasti kadonnut laite menettää pääsyn. Yksinkertainen päätelaiteasiakas voi olla vaikeammin operoitavan palvelimen edessä, ja päinvastaistakin tapahtuu. Kysy, kumpaa tiimisi voi pitää käynnissä sen jälkeen, kun sen rakentanut henkilö lähtee.

Valitse tuettu yhteys, joka kattaa työn, ja testaa sitä sitten vasten pääsyä, jota todella tarvitset, älä ominaisuusluetteloa. Kirjaa, kumpaan yhdyskäytävään kukin vaihtoehto päättyy, sillä kaksi eri yhdyskäytävää tekevät vertailusta yhtä paljon reiteistä kuin protokollista. Toista neljä tarkistusta laitteella, jota todella kannat, ja pidä profiili, joka menee siinä läpi.