SSTP tsjin OpenVPN: deselde poarte 443, oar protokol

Beide opsjes kinne efter TCP 443 stean, dêrom nimme minsken oan dat it útwikselbere einpunten binne. Dat binne se net: SSTP tsjinner praat PPP binnen HTTPS, wylst in OpenVPN-tsjinner syn eigen protokol oer TLS of fia in rûge UDP-stream praat. Ien klant nei de poarte fan de oare wizelet in ferbining oan dy't nea by in oanmeldprompt komt. De kar giet oer hokker klant en transport jo stypje kinne, net oer it nûmer.

In dielde poarte makket gjin dield protokol

De TLS-hânskikuur kin foltôgje wurde en dochs nearne hinne liede, om't de klant en de tsjinner it dan net iens binne oer wat der folgjende sein wurde moat. Yn in pakketopname sjogge jo in skjinne hânskikuur folge troch applikaasjegegevens dy't de oare kant ôfwiist of negearret. Dat patroan is de hanttekening fan in protokolferskil en net fan in blokkade troch de firewall.

Noch in omneamd profyl noch in oar menû-item makket it iene ta it oare. In SSTP-ferbining wurdt oanmakke út 'e Windows-VPN-ynstellingen mei in tsjinneradres en de autentikaasjegegevens fan 'e operator, wylst in OpenVPN-ferbining de klant en it byhearrende konfiguraasjebestân nedich hat. De SSTP-spesifikaasje fan Microsoft beskriuwt it earste en beskriuwt gjin OpenVPN-hânskikuur.

Poarte 443 is in beliedsgemak. Hy komt troch netwurken dy't mar in bytsje oars tastean, en dat is in echt foardiel, mar hy seit neat oer hokker protokol der efter rint.

SSTP tunnellet PPP binnen HTTPS

De namme beskriuwt de konstruksje: PPP-ramen dy't binnen in HTTPS-sesje ferfierd wurde, wat TLS derûnder betsjut en in sertifikaat dat de klant kontrolearje kin. Windows befettet dit as in native VPN-type, sadat in beheard laptop faak ferbine kin sûnder ekstra software bûten it profyl dat de operator leveret.

Oare platfoarms binne in oar ferhaal. In Linux- of macOS-klant hat in ûnderhâlden ymplemintaasje nedich, en dy ferskille yn wat se stypje en hoe't se flaters melde. Kontrolearje de klant dy't jo eins fan doel binne te brûken ynstee fan oan te nimmen dat de ynboude Windows-mooglikheid oergiet, en befêstigje dat de tsjinnernamme yn it profyl oerienkomt mei it sertifikaat dat de tsjinner presintearret.

SSTP is meastentiids allinnich TCP. Dat iene transport beynfloedet hoe't it him hâldt op in link mei ferlies, om't werstjoering sawol binnen de tunnel as derûnder bart.

OpenVPN bringt syn eigen klant en in kar fan transport

OpenVPN leveret syn eigen klant en profyl, wat jo diagnostyk jout dy't in native Windows-dialooch net toant. De tsjinner kin harkje op UDP of TCP, en de konfiguraasje fan 'e operator beslút hokker jo klant brûke moat. In profyl rjochte op it ferkearde transport mislearret foar de autentikaasje.

Autentikaasje is likefolle konfiguraasjebesulge. In útrol kin allinnich sertifikaten easkje, sertifikaten plus in brûkersnamme en wachtwurd, of in twadde faktor derboppe, en de klant moat krekt by dy regeling passe. It feit dat in ferbining de TLS-stap berikt, seit net hokker bewiisstikken it folgjende freegje sil.

UDP is de gewoane standert, om't it foarkomt dat in betroubere stream binnen in oare betroubere stream nêsteld wurdt. De TCP-modus bestiet foar netwurken dy't UDP blokkearje, en hy wurket, mar swier ferlies kin him slimmer fiele litte as it UDP-paad dat er ferfongen hat. Kies TCP as jo moatte, net om't it betrouberder klinkt.

Kies op klant, transport en stipe

Trije fragen besljochtsje de measte fan dizze besluten. Hat elk klantapparaat in ferbining nedich dy't sûnder ekstra software wurket? Lit it netwurk dêr't jo fan ôfhinklik binne UDP ta, of is TCP 443 de iennichste útgong? En wa stipet de klant, syn updates en syn werstel as in profyl ferrint?

As jo de twa ferlykje, test dan op itselde apparaat en itselde tagongsnetwurk. As it SSTP-einpunt en it OpenVPN-einpunt ferskate tsjinners of ferskate lokaasjes binne, dan befettet jo resultaat dy rûtes en masines ynstee fan it protokol te isolearjen. Dat is de meast foarkommende manier wêrop sokke ferlikingen in selswis mar ferkeard antwurd jouwe.

Befêstigje dan hokker jo eins oanmakke hawwe foardat jo eat oars debugge:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Hoe dan ek, einigje mei it testen fan 'e boarne en de DNS dy't jo nedich hawwe ynstee fan sukses te ferklearjen by de tunnelsteat. Beide protokollen kinne konfigurearre wurde om allinnich selektearre partikuliere ferkear te ferfieren, en in ferbûne tunnel sûnder wurkjende namme-oplossing liket in stikken VPN, wylst it eins in split-tunnel- of DNS-ûntwerp is.

Yn in beheard park beslute profyldistribúsje en update-stipe de fraach meastentiids lang foar elke transportmjitting.