Windowsin saapuva VPN vai OpenVPN-isäntä: valitse viidessä minuutissa

Windows voi ottaa vastaan VPN-yhteyden ilman, että käyttöjärjestelmän lisäksi asennetaan mitään, ja siitä on todella apua, kun kahdella omistamallasi koneella tarvitaan tunneli yhdeksi iltapäiväksi. Se pysyy hyödyllisenä suunnilleen niin kauan. Sisäänrakennetussa kuuntelijassa on kiinteä protokollavalikko, ei asiakaskohtaista käytäntöä ja riippuvuus työpöydästä, jonka joku voi sulkea. Valinta sen, reitittimen päätepisteen ja OpenVPN-isännän välillä palautuu kolmeen ehtoon eikä mieltymykseen.

Mikä sisäänrakennettu kuuntelija oikeastaan on

Saapuvan yhteyden ohjattu toiminto muuttaa työaseman pieneksi etäkäytön päätepisteeksi. Valitset, mitkä paikalliset tilit saavat soittaa, miten osoitteet jaetaan ja mikä protokolla on käytössä: PPTP sekä L2TP/IPsec tai SSTP silloin, kun versio ja varmennetyö tukevat niitä.

Se ei ole käytäntökerros. Ei ole reittien kohdistusta käyttäjää kohden, ei palvelimen pakottamaa jaettua tunnelia eikä erottelua tunnelin ja työaseman oman verkkoidentiteetin välillä. Yhdistävä asiakas laskeutuu samaan segmenttiin kuin työasema, kyseisen segmentin palomuurisääntöjen alaisena.

Juuri viimeinen kohta on punnittava. Työaseman omat portit, jaot ja selain ovat nyt kaikkien niiden ulottuvilla, joilla on tili, ja tili on paikallinen Windows-tili kaiken muun kanssa, mitä se jo osaa.

Kolme ehtoa, jotka ratkaisevat

Kysy, kuinka kauan pääsyn on kestettävä, kuinka moni sitä tarvitsee ja voiko verkko ylipäätään toimittaa protokollan.

Jos vastaus on yksi kone, yksi henkilö ja muutama tunti verkossa, jossa hallitset reititintä, sisäänrakennettu kuuntelija on oikeasuhtainen. Jos pääsyn on kestettävä uudelleenkäynnistykset kuukauden ajan, palveltava viittä kollegaa erillisillä tunnistetiedoilla tai toimittava mobiiliverkosta, joka ei voi vastaanottaa saapuvia yhteyksiä, se ei ole. Jos protokolla vaatii portin sijaan IP-protokollan 47, verkko voi kieltäytyä toimittamasta sitä riippumatta siitä, mitä Windows tukee.

Nämä kolme vastausta poistavat suurimman osan väittelystä yhdellä kertaa. Loput on toteutuksen yksityiskohtia.

Missä reitittimen päätepiste voittaa

Reitittimelle päättyvä tunneli on luonnollinen valinta pysyvään pääsyyn. Reititin on jo aina päällä, se voi kuljettaa toimipaikkojen välisen tunnelin toiseen toimistoon, eikä asiakkaille tarvitse asentaa mitään, jos reititin tarjoaa heidän käyttämänsä protokollan.

Rajoitus on laiteohjelmisto. Kuluttajareitittimet tukevat usein vain osaa siitä, mihin määritelmä antaa mahdollisuuden, eikä malli, joka mainostaa VPN-tukea, välttämättä sisällä juuri sitä, jonka suunnittelit. Tarkista asennetun laiteohjelmiston ominaisuusluettelo, älä tuoteperheen.

Missä OpenVPN-isäntä voittaa

OpenVPN-palvelin pienessä aina päällä olevassa koneessa sopii sekalaisille asiakkaille, useille erillisillä tunnistetiedoilla varustetuille käyttäjille ja verkoille, joissa yksi lähtevälle liikenteelle sopiva portti on ero toimimisen ja estämisen välillä. Se myöntää profiilin asiakasta kohden, toimii kaikilla tärkeimmillä alustoilla ja käyttäytyy asiakkaan puolelta kuin tavallinen lähtevä sovellus.

Se vaatii myös omistajan. Jonkun on uusittava varmenteet, asennettava isännän päivitykset ja luettava lokia, kun asiakas ei voi yhdistää. Ilman sitä henkilöä itse ylläpidetty päätepiste rapistuu hiljaa siihen päivään, jona sillä on merkitystä.

Tarkista polku ennen kuin lupaat pääsyn

Yleisin syy Windows-kuuntelijan epäonnistumiseen ei ole todentaminen. Syy on polku: PPTP tarvitsee saapuvan TCP 1723:n ja GRE:n, joka on protokolla 47 eikä portti, ja monet reitittimet välittävät vain portteja. Jotkin käyttöverkkot eivät salli saapuvia yhteyksiä lainkaan. Tämä yksi tosiasia sulkee pois sisäänrakennetun kuuntelijan useammissa verkoissa kuin mikään Windows-asetus.

Testaa polku ennen tilien määrittämistä, jotta epäonnistumisella on yksi ehdokas kolmen sijaan:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Suljettu portti ensimmäisellä rivillä on välityksen tai operaattorin ongelma, ei Windowsin ongelma. Kolmas rivi on tarkistus, jonka tekisit valittuasi OpenVPN:n, jossa yksi kuunteleva UDP-portti korvaa koko protokollakysymyksen.

Minkä vaihtoehdon valitsetkin, älä jätä PPTP:tä pitkäaikaisena ratkaisuna internetiin päin; sen todentaminen ja salaus ovat vanhentuneet. Ja jos todellinen tarve on yksi verkkosovellus, käänteinen välityspalvelin on pienempi vastaus kuin mikä tahansa VPN.