Nous utilisons OpenVPN : protocole, moteur ou application ? Ce qu’il faut demander à la place

La phrase « nous utilisons OpenVPN » arrive dans les tickets, les formulaires d’achat et les documents d’intégration, et elle répond à une question différente dans chacun. Parfois elle désigne un protocole de transport, parfois le logiciel d’une passerelle, et parfois l’application qu’un nouvel arrivant doit installer. Ces trois faits mènent à des étapes suivantes différentes, et demander laquelle est visée prend moins de temps que deviner. Le reste de l’enquête découle de cette réponse.

Commencez par séparer le rôle de la marque, car la marque couvre les trois.

Le nom couvre trois rôles qui échouent différemment

En tant que protocole, OpenVPN décrit comment des pairs compatibles établissent un tunnel et protègent ce qui le traverse. En tant que logiciel, c’est une implémentation qui parle ce protocole dans un rôle de client ou de serveur. En tant que client, c’est une application que quelqu’un installe, avec sa propre version, son format de profil et ses particularités de plateforme. Une défaillance dans un rôle n’implique pas une défaillance dans un autre, et c’est pourquoi « OpenVPN est en panne » a besoin d’un sujet.

Demandez ce que la personne qui signale peut voir : un fichier de profil, un programme installé ou une passerelle qu’elle administre. Ce seul détail vous dit si l’étape suivante est un journal du client, une question sur le paquet ou une vérification de l’écouteur côté serveur.

OpenVPN 2 et OpenVPN 3 ne forment pas une paire de mise à niveau

OpenVPN 2.x fonctionne à la fois en rôle de serveur et de client, et c’est ce que la plupart des déploiements de passerelle utilisent encore. OpenVPN 3 est une implémentation distincte orientée client, avec sa propre configuration et son propre modèle de session, et non la version suivante que l’on installe par-dessus un serveur 2.x. OpenVPN Connect est une application cliente construite sur le moteur OpenVPN 3. Installer l’une ou l’autre ne crée pas un service de sortie internet ; la sortie est ce que l’opérateur a configuré.

La compatibilité au niveau du protocole ne s’étend pas aux directives de profil, si bien qu’un profil qui s’importe proprement peut encore échouer sur une directive que le client n’implémente pas.

Le transport n’est pas l’application qu’il contient

La connexion extérieure utilise un transport comme UDP ou TCP pour atteindre un écouteur configuré, et tout ce que le tunnel transporte circule à l’intérieur. Une requête web passée par le VPN n’a pas besoin de son propre écouteur OpenVPN et ne devient pas un paquet OpenVPN sur le fil. En mode TLS, le canal de contrôle négocie le matériel de clés tandis que le canal de données protège la charge utile, et c’est une séparation qu’il vaut la peine de garder juste quand on lit des journaux.

Confondre les couches produit des demandes comme ouvrir un port pour un site web qui fonctionne déjà par le tunnel. Le port appartient à la connexion extérieure, pas à l’application.

Ce qu’un profil peut promettre et ce qu’il ne peut pas

Un profil dit à un client comment atteindre un service : point de terminaison, transport, matériel d’identité et souvent quelques préférences de routage et de DNS. Il ne dit rien sur qui exploite ce service ni sur le fait que le compte soit autorisé. Les routes, les réglages du résolveur, les règles de transfert et la politique d’accès décident de ce que la session atteint réellement. Un profil qui s’importe correctement est le début d’une connexion fonctionnelle, pas la preuve de celle-ci.

Quand quelqu’un demande si une ressource est joignable par le VPN, la réponse dépend de la politique du serveur et non du fichier de configuration du client.

Demandez ce qui peut être fourni

Transformez le nom large en trois précisions : le client et sa version, le profil autorisé pour ce client et la ressource que la personne doit atteindre. Avec elles, le provisionnement est une tâche concrète. Sans elles, chaque réponse est une supposition sur l’OpenVPN que la question visait.

Notez la réponse dans la demande elle-même. Le prochain ticket posera la même question de la même manière ambiguë.