SSTP fronte a OpenVPN: o mesmo porto 443, outro protocolo

Ambas as opcións poden situarse detrás de TCP 443, así que a xente asume que son extremos intercambiables. Non o son: SSTP servidor fala PPP dentro de HTTPS, mentres que un servidor OpenVPN fala o seu propio protocolo sobre TLS ou mediante un fluxo UDP en bruto. Apuntar un cliente ao porto do outro produce unha conexión que nunca chega a un aviso de inicio de sesión. A elección trata de que cliente e que transporte podes soportar, non do número.

Un porto compartido non crea un protocolo compartido

O protocolo de enlace TLS pode completarse e aínda así non levar a ningures, porque despois o cliente e o servidor non coinciden en que dicir a continuación. Nunha captura de paquetes ves un saúdo limpo seguido de datos de aplicación que a outra parte rexeita ou ignora. Ese patrón é a sinatura dun desaxuste de protocolo e non dun bloqueo do cortafuegos.

Nin un perfil renomeado nin outra entrada de menú converte un no outro. Unha conexión SSTP créase desde a configuración de VPN de Windows cun enderezo de servidor e os datos de autenticación do operador, mentres que unha conexión OpenVPN necesita o cliente e o ficheiro de configuración correspondente. A especificación SSTP de Microsoft describe a primeira e non describe un saúdo de OpenVPN.

O porto 443 é unha comodidade de política. Atravesa redes que permiten pouco máis, e iso é unha vantaxe real, pero non che di nada sobre que protocolo se executa detrás.

SSTP encapsula PPP dentro de HTTPS

O nome describe a construción: tramas PPP transportadas dentro dunha sesión HTTPS, o que significa TLS por debaixo e un certificado que o cliente pode comprobar. Windows inclúeo como tipo de VPN nativo, así que un portátil xestionado a miúdo pode conectarse sen software adicional máis alá do perfil que proporciona o operador.

Outras plataformas son outra historia. Un cliente de Linux ou macOS necesita unha implementación mantida, e estas varían en que soportan e como informan dos erros. Comproba o cliente que realmente pensas usar en lugar de supor que a capacidade integrada de Windows se traslada, e confirma que o nome do servidor no perfil coincide co certificado que presenta o servidor.

SSTP normalmente é só TCP. Ese único transporte afecta a como se comporta nunha ligazón con perdas, porque a retransmisión ocorre dentro do túnel e tamén por debaixo.

OpenVPN trae o seu propio cliente e unha elección de transporte

OpenVPN entrega o seu propio cliente e perfil, o que che dá diagnósticos que un diálogo nativo de Windows non expón. O servidor pode escoitar en UDP ou TCP, e a configuración do operador decide cal debe usar o teu cliente. Un perfil apuntado ao transporte equivocado falla antes da autenticación.

A autenticación depende igualmente da configuración. Un despregamento pode esixir só certificados, certificados máis un nome de usuario e un contrasinal, ou un segundo factor por riba, e o cliente ten que coincidir exactamente con esa disposición. O feito de que unha conexión chegue á etapa TLS non che di que credenciais pedirá despois.

UDP é o valor predeterminado habitual porque evita aniñar un fluxo fiable dentro doutro fluxo fiable. O modo TCP existe para redes que bloquean UDP, e funciona, pero unha perda elevada pode facer que se sinta peor que a ruta UDP á que substituíu. Escolle TCP cando debas, non porque soe máis fiable.

Escolle por cliente, transporte e soporte

Tres preguntas resolven a maioría destas decisións. ¿Necesita cada dispositivo cliente unha conexión que funcione sen software adicional? ¿Permite UDP a rede da que dependes, ou é TCP 443 a única saída? ¿E quen dá soporte ao cliente, ás súas actualizacións e á súa recuperación cando un perfil caduca?

Cando compares os dous, proba no mesmo dispositivo e na mesma rede de acceso. Se o extremo SSTP e o extremo OpenVPN son servidores distintos ou sitios distintos, o teu resultado inclúe esas rutas e máquinas en lugar de illar o protocolo. É a forma máis común de que estas comparacións produzan unha resposta segura pero equivocada.

Despois confirma cal estableceches realmente antes de depurar calquera outra cousa:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

En calquera caso, termina probando o recurso e o DNS que necesitas en lugar de declarar éxito no estado do túnel. Ambos os protocolos poden configurarse para transportar só tráfico privado seleccionado, e un túnel conectado sen resolución de nomes funcional parece unha VPN rota cando en realidade é un deseño de túnel dividido ou de DNS.

Nunha frota xestionada, a distribución de perfís e o soporte de actualizacións adoitan decidir a cuestión moito antes que calquera medición de transporte.