SSTP vs OpenVPN: sama portti 443, eri protokolla

Molemmat vaihtoehdot voivat olla TCP 443:n takana, joten ihmiset olettavat niiden olevan keskenään vaihdettavia päätepisteitä. Ne eivät ole: SSTP palvelin puhuu PPP:tä HTTPS:n sisällä, kun taas OpenVPN-palvelin puhuu omaa protokollansa TLS:n päällä tai raa'an UDP-virran kautta. Yhden asiakkaan osoittaminen toisen porttiin tuottaa yhteyden, joka ei koskaan saavuta kirjautumiskehotetta. Valinta koskee sitä, millä asiakkaalla ja siirtotavalla voit tukea sitä, ei numeroa.

Jaettu portti ei tee jaettua protokollaa

TLS-kättely voi valmistua ja silti johtaa ei mihinkään, koska sen jälkeen asiakas ja palvelin eivät ole yksimielisiä siitä, mitä sanoa seuraavaksi. Pakettikaappauksessa näet siistin kättelyn, jota seuraa sovellusdata, jonka vastapuoli hylkää tai jättää huomiotta. Tämä kuvio on protokollan yhteensopimattomuuden allekirjoitus, ei palomuurin eston.

Ei uudelleennimetty profiili eikä toinen valikkokohta muuta toista toiseksi. SSTP-yhteys luodaan Windowsin VPN-asetuksista palvelinosoitteella ja operaattorin todennustiedoilla, kun taas OpenVPN-yhteys tarvitsee asiakkaan ja sitä vastaavan asetustiedoston. Microsoftin SSTP-määrittely kuvaa ensimmäisen eikä kuvaa OpenVPN-kättelyä.

Portti 443 on käytännön mukavuus. Se läpäisee verkkoja, jotka sallivat vähän muuta, ja se on todellinen etu, mutta se ei kerro mitään siitä, mikä protokolla sen takana toimii.

SSTP tunneloi PPP:n HTTPS:n sisällä

Nimi kuvaa rakenteen: HTTPS-istunnon sisällä kuljetettavat PPP-kehykset, mikä tarkoittaa TLS:ää alla ja varmentetta, jonka asiakas voi tarkistaa. Windows sisällyttää tämän natiivina VPN-tyyppinä, joten hallittu kannettava voi usein yhdistää ilman lisäohjelmistoa operaattorin toimittaman profiilin lisäksi.

Muut alustat ovat eri tarina. Linux- tai macOS-asiakas tarvitsee ylläpidetyn toteutuksen, ja ne eroavat siinä, mitä ne tukevat ja miten ne raportoivat virheitä. Tarkista asiakas, jota todella aiot käyttää, sen sijaan että olettaisit Windowsin sisäänrakennetun kyvyn siirtyvän, ja varmista, että profiilin palvelinnimi vastaa palvelimen esittämää varmennetta.

SSTP on yleensä vain TCP. Tämä yksi siirtotapa vaikuttaa siihen, miten se käyttäytyy häviöisellä linkillä, koska uudelleenlähetys tapahtuu sekä tunnelin sisällä että sen alla.

OpenVPN tuo oman asiakkaansa ja siirtotavan valinnan

OpenVPN toimittaa oman asiakkaansa ja profiilinsa, mikä antaa sinulle diagnostiikkaa, jota natiivi Windows-ikkuna ei näytä. Palvelin voi kuunnella UDP:llä tai TCP:llä, ja operaattorin kokoonpano päättää, kumpaa asiakkaasi on käytettävä. Väärään siirtotapaan osoitettu profiili epäonnistuu ennen todennusta.

Todennus on yhtä lailla kokoonpanovetoista. Käyttöönotto voi vaatia vain varmenteet, varmenteet sekä käyttäjänimen ja salasanan tai toisen tekijän niiden päälle, ja asiakkaan on vastattava täsmälleen tätä järjestelyä. Se, että yhteys saavuttaa TLS-vaiheen, ei kerro, mitä tunnuksia se seuraavaksi kysyy.

UDP on tavallinen oletus, koska se välttää luotettavan virran sisäkkäin sijoittamisen toiseen luotettavaan virtaan. TCP-tila on olemassa verkoille, jotka estävät UDP:n, ja se toimii, mutta raskas häviö voi saada sen tuntumaan huonommalta kuin UDP-polku, jonka se korvasi. Valitse TCP, kun on pakko, ei siksi, että se kuulostaa luotettavammalta.

Valitse asiakkaan, siirtotavan ja tuen mukaan

Kolme kysymystä ratkaisee useimmat näistä päätöksistä. Tarvitseeko jokainen asiakaslaite yhteyden, joka toimii ilman lisäohjelmistoa? Salliiko verkko, josta olet riippuvainen, UDP:n, vai onko TCP 443 ainoa ulospääsy? Ja kuka tukee asiakasta, sen päivityksiä ja sen palautumista, kun profiili vanhenee?

Kun vertailet näitä kahta, testaa samalla laitteella ja samassa käyttöverkossa. Jos SSTP:n päätepiste ja OpenVPN:n päätepiste ovat eri palvelimia tai eri sivustoja, tuloksesi sisältää ne reitit ja koneet sen sijaan, että eristäisit protokollan. Tämä on yleisin tapa, jolla tällaiset vertailut antavat itsevarman mutta väärän vastauksen.

Varmista sitten, kumman todella muodostit, ennen kuin selvität mitään muuta:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Kummassa tahansa tapauksessa lopeta testaamalla tarvitsemasi resurssi ja DNS sen sijaan, että julistaisit onnistumisen tunnelin tilassa. Molemmat protokollat voidaan määrittää kuljettamaan vain valittua yksityistä liikennettä, ja yhdistetty tunneli ilman toimivaa nimien selvitystä näyttää rikkinäiseltä VPN:ltä, kun se todellisuudessa on jaetun tunnelin tai DNS:n suunnittelu.

Hallitussa laitekannassa profiilien jakelu ja päivitystuki ratkaisevat kysymyksen yleensä paljon ennen mitään siirtotavan mittausta.