OpenVPN of IKEv2: fjouwer kontrôles foardat jo in protokol kieze

De kar tusken OpenVPN en IKEv2 wurdt meastentiids as in protokolfraach bepraat, en dy ramt fergriemt de beslissing. Wat dy beslútt is oft jo server en jo apparaten itselde folsleine profyl stypje en oft dat profyl de manier oerlibbet wêrop jo tusken netwurken bewege. De twa steapels wurde net yninoar oerset: in OVPN-bestân is gjin IKEv2-profyl mei oare syntaksis. Fjouwer kontrôles, yn folchoarder útfierd, beantwurdzje de fraach flugger as hokker funksjetabel dan ek.

In ûntbrekkende client einiget de diskusje

Windows en macOS leverje in IKEv2-client, dus in IKEv2-profyl kostet dêr neat ekstra om te ynsetten en erft de foarsjenningopsjes dy't it bestjoeringssysteem al biedt. OpenVPN op deselde masines betsjut in tredde-partijclient dy't ynstalleare, bywurke en stipe wurde moat, en dy client moat elke opsje akseptearje dy't it profyl brûkt. Tel de platfoarms dy't jo dekke moatte foardat jo eat oars fergelykje, want in platfoarm sûnder wurkjende client is hielendal gjin fergelykjepunt.

Yn Windows listet ien opdracht de profilen op dy't al besteane en lit sjen hokker type elk is. De namme dy't it printsje is de namme dy't de lettere kontrôles brûke.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

It fersyk om in client te ynstallearjen is it echte antwurd foar de OpenVPN-kolom op dy platfoarms, en it is in ynsetopdracht en gjin protokolbeheining. Gjin fan beide regelingen hellet fertrouwenskontrôles, identiteitsferifikaasje of ûnderhâld fuort. Freegje hoe't profilen ferspraat wurde, hoe't tagongsgegevens fernijd wurde en hoe't in ferlern apparaat fuorthelle wurdt foardat jo jo ferbine. In ienfâldige ynstallaasje kin noch altyd in werstelproses ferbergje dat nimmen yn it wykein útfiere wol.

Mobiliteit is in mienskiplike ynstelling, gjin protokolbelofte

IKEv2 kin MOBIKE brûke as beide kanten it stypje en aktivearje, wat in client tastiet syn tunnel te hâlden wylst syn adres feroaret. RFC 4555 definiearret de útwreiding, en de betingstlike formulearring is wichtich: in server dy't de kapasiteit negearret, ûnderhannelet ynstee op 'e nij. It resultaat kin identyk lykje by in bestânsoerdracht en hiel oars by in live petear.

Test de oergong dy't jo echt wichtich fine, mei eat dat rint en dat jo besjen kinne. Hâld ping -t <internal-host> oan it wurkjen yn Windows, of de gewoane ping earne oars, skeakelje dan fan Wi-Fi nei mobyl en sjoch foar gatten. In MOBIKE-flater ferskynt yn it clientlogboek as in folsleine werferifikaasje ynstee fan in stille adresfernijing. Wat jo mjitte is oft de tunnel de feroaring oerlibbet, net oft it protokol stipe oankundiget.

OpenVPN-clients ferbine op 'e nij neffens har eigen platfoarmgedrach en de timers fan it profyl, sadat deselde test in oare foarm fan ûnderbrekking jaan kin. Fergelykje de barren dy't foar jo brûkers fan belang is, net it label op it protokol.

Tagongsgegevens hearre by de tsjinst, net by de steapel

Sertifikaten en oare oanmeldregelingen hearre by de tsjinst dy't de ferbining einiget. In wachtwurdfoarsjenning yn ien client seit neat oer kompatibiliteit mei in oare, en in profyl dat tsjin in oare gateway wurket, seit neat oer dizze. Hâld de regels foar serveridentiteit ûnoantaaste wylst jo de twa steapels fergelykje. It wikseljen fan protokol foardat jo de flater identifisearre hawwe, makket meastentiids in twadde ynkompatibel profyl.

Undersykje de tagongsgegevens dy't de client presintearje sil foardat jo ien fan beide protokollen de skuld jouwe, want in ferrûn of ferkeard útjûn sertifikaat mislearret op beide deselde manier. De útfier hjirûnder lit ûnderwerp, útjouwer en jildichheidsdatums sjen sûnder de partikuliere kaai te lêzen.

openssl x509 -in client.crt -noout -subject -issuer -dates

Brûk foar in bedriuwsferbining de metoade dy't it bedriuw publisearret en hâld op mei de fergeliking as eksperimint te behanneljen. As jo de twa foar josels fergelykje, kontrolearje dan earst oft beide opsjes by ien gateway einigje, want dat iene detail beslút hoefolle fan jo resultaat oer it protokol giet. In ôfwizing dy't de tagongsgegevens neamt is in probleem mei de tagongsgegevens, en gjin protokolwiksel sil it reparearje.

Kontrolearje wat de tunnel eins rûtelet

Befêstigje nei it ferbinen dat de rûte dy't jo nedich hawwe bestiet en dat nammen oplost wurde. In profyl dat foar ynterne boarnen bestiet, kin gewoan blêdzjen by ûntwerp op it lokale paad litte, en dat is in beliedsbeslissing en gjin flater. Wat fan belang is, is oft de bestimmingen dy't jo team brûkt fia de tunnel berikber binne.

Twa opdrachten dekke de rûte en it namsykjen yn Windows. De Linux-ekwivalinten binne ip route show default en resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

In tunnel dy't omheech komt en neat nuttich rûtelet is in gewoan resultaat as in profyl tusken tsjinsten kopiearre is, en in algemiene ferbiningstest sil it net sjen litte om't de ynterface omheech is. Test de boarne dy't jo brûkers earst iepenje, net in iepenbier adres dat elk paad berikke kin. As de namme nei in iepenbier adres oplost wylst de rûte yn de tunnel wiist, hearre it DNS-antwurd en de rûte by ferskillende beslissingen en beide moatte reparearre wurde.

Weech it ûnderhâld nei de kontrôles

Gjin fan beide protokollen is yn it abstrakt better te ûnderhâlden. It ûnderhâld hinget ôf fan wa't de gateway betsjinnet, hoe't profilen by apparaten komme en hoe fluch in ferlern apparaat tagong ferliest. In ienfâldige einpuntclient kin foar in dreger te betsjinjen server sitte, en it omkearde bart ek. Freegje hokker fan de twa jo team oan it wurk hâlde kin neidat de persoan dy't it boud hat fuortgiet.

Kies de stipe ferbining dy't it wurk dekt, en test dy dan tsjin de tagong dy't jo echt nedich hawwe ynstee fan tsjin in funksjelist. Skriuw op by hokker gateway elke opsje einiget, want twa ferskillende gateways meitsje de fergeliking likefolle oer rûtes as oer protokollen. Werhelje de fjouwer kontrôles op it apparaat dat jo echt drage sille, en hâld it profyl dat dêrop slagget.