OpenVPN Access Server tsjin Community: wat der echt migrearret

Profylen ferhúzje; brûkerslisten bliuwe efter. In team dat wikselt tusken Access Server en Community Edition komt dat gat in oere yn 'e oergong tsjin, wannear't syn earste klant autentisearret en dan gjin groepsbelied, gjin rûte per brûker en gjin selsbetsjinne wachtwurdweromset hat. Beide produkten prate itselde protokol en akseptearje deselde klant, en dêrom bliuwt it gat ûnsichtber by it plannen. Wat jo eins kieze, is de beheardlaach en de minsken dy't dy besitte.

Behannelje de beslissing as in ynventarisfraach ynstee fan in funksjetabel. Freegje wa't brûkers oanmakket, wa't sertifikaten ynlûkt, en wa't om 02:00 de tillefoan opnimt.

Wêrom't it .ovpn-bestân de opset net meidraacht

In .ovpn-profyl beskriuwt de ferhâlding fan ien klant mei ien server: de fiere host, it protokol, de CA, in klientsertifikaat en -kaai, en alle ynline tls-crypt-materiaal. Smyt dat bestân yn in nije bou en de klant foltôget noch altyd in hânskodding, sadat de migraasje klear liket. Neat deryn listet de brûkers, har groepen, har statyske rûtes of it belied dat besliste wa't hielendal ferbine mocht. Dy records wenje yn 'e eigen opslach fan 'e server, en de beide produkten bewarje se yn ferskillende foarmen.

Yn Community Edition binne de ekwivalinten bestannen dy't jo sels hâlde: client-config-dir-yngongen mei opsjes per klant lykas ifconfig-push en iroute, in CRL foar ynlûkingen en de tls-crypt-kaai. Access Server hâldt deselde begripen yn syn eigen databank en toant se fia in webkonsole en it opdrachtrigel-ark sacli. De begripen mape ien-op-ien; de artefakten ferhúzje hielendal net.

Profylen smokkelje ek gedrach nei binnen dat nimmen merkt oant it feroaret. In klant mei redirect-gateway def1 stjoert alle browsen fia de server; ferpleats it nei in bou sûnder dy rigel en de klacht is dat it ynternet brutsen is. In CA-misbyd en in ferkearde remote-cert-tls-ynstelling mislearret lûd, wat it goede risseltaat is. In ûntbrekkende tls-crypt-kaai mislearret as in stille timeout, wat net sa is.

Wat de beheardlaach besit

Tel wat gjin protokol is: it oanmeitsjen fan akkounts, wachtwurdweromset, groepstastelling, MFA-ynskriuwing, ferbiningsrjochten en it auditspoar dat antwurdet wa't wannear ferbûn. Community Edition leveret dêrfan neat direkt. Jo kieze in autentikaasje-backend, koppelje PAM, LDAP of RADIUS oan fia in plugin of auth-user-pass-verify, en ûnderhâlde de rest sels. Access Server leveret in brûkersportaal, in behearkonsole en yntegraasjes foar gewoane identiteitsproviders. Gjin fan beide regelingen is by default feiliger, want it belied moat noch altyd skreaun wurde troch ien dy't it netwurk ken.

Rjochten binne it skerpste operasjonele ferskil. Access Server wurdt lisinsearre op it oantal tagelyk ferbiningen en twingt dat oantal yn software ôf. Op Community Edition is in globale limyt ien inkele max-clients-rigel, wylst alles per brûker of per groep mear client-config-dir-wurk en jo eigen hanthavening betsjut. In team sûnder nocht oan dat ûnderhâld keapet krekt dat as it foar it kommersjele produkt betellet.

Lisinsearjen en stipe: de regel dy't nimmen begruttet

Community Edition is fergees en iepenboarne. Access Server is kommersjeel, en syn fergeze nivo hat histoarysk in lyts oantal tagelyk ferbiningen dekt, mei in betelle lisinsje dêrboppe. Elk sifer dat yn in âld forumantwurd neamd wurdt, is no ferâldere, dus kontrolearje de aktuele betingsten fan 'e leveransier foardat jo it projekt begrutte. De earlike ferliking telt de oeren dy't oan 'e mienskipskant bestege wurde oan brûkersbehear, MFA en monitoring by de lisinsjerigel oan 'e kommersjele kant.

Stipe-eigendom folget deselde splitsing. Mei Community Edition binne jo it eskalasjepaad foar elke frjemde klant en elke kernelfernijing. Mei Access Server hawwe jo in leveransier om te beljen, en jo ervje syn frijlittingsritme, oft it by jo feroaringsfinster past of net.

Kontrôles foar de oergong

Yventarisearje wat de rinnende server eins hâldt foardat de oergong yn ien fan beide rjochtingen. Oan 'e Access Server-kant eksportearje jo de brûkerslist en groepstastellings en notearje jo hokker akkounts op MFA fertrouwe. Oan 'e Community Edition-kant listje jo de útjûne sertifikaten, de CRL en elk bestân ûnder client-config-dir. Ferlykje de twa listen rigel foar rigel, want it ferskil der tusken is it migraasjewurk.

Test fertsjintwurdigjende klanten wylst de âlde tsjinst noch rint. openvpn --config client.ovpn --verb 4 op 'e foargrûn prints de hânskodding, de stjoerde rûtes en de DNS-opsjes, en openssl x509 -in client.crt -noout -subject -enddate lit sjen hokker sertifikaat de klant echt presintearret. In klant dy't ferbynt mar gjin ynterne host berikke kin, hat in rûte- as iroute-gat, gjin autentikaasjeflater.

Hâld it âlde herstelpaad libben oant de ferfanging sawol in test mei wegere tagong as in slagge test trochstiet. Skriuw de definitive kaart op ien side: elke eask, it artefakt dat dy hjoed befrediget, en it artefakt dat dy dêrnei befredigje sil.