VPN entrante de Windows ou un servidor OpenVPN: escolle en cinco minutos

Windows pode aceptar unha conexión VPN sen nada instalado máis aló do sistema operativo, e iso axuda de verdade cando dúas máquinas que tes necesitan un túnel durante unha tarde. Segue sendo útil aproximadamente ese tempo. O oínte integrado ten un menú de protocolos fixo, ningunha política por cliente e unha dependencia dun escritorio que alguén pode pechar. Escoller entre el, un extremo no router e un servidor OpenVPN redúcese a tres condicións e non a unha preferencia.

Que é realmente o oínte integrado

O asistente de conexión entrante converte unha estación de traballo nun pequeno extremo de acceso remoto. Escolles que contas locais poden marcar, como se reparten os enderezos e que protocolo está activo: PPTP, ademais de L2TP/IPsec ou SSTP onde a edición e o traballo con certificados os admitan.

O que non é é unha capa de políticas. Non hai asignación de rutas por usuario, nin túnel dividido imposto polo servidor, nin separación entre o túnel e a identidade de rede propia da estación. Un cliente que se conecta aterra no mesmo segmento que a estación, baixo as regras de devasas dese segmento.

Ese último punto é o que hai que sopesar. Os portos, os recursos compartidos e o navegador da estación agora son accesibles para calquera que teña a conta, e a conta é unha conta local de Windows con todo o demais que xa pode facer.

Tres condicións que o deciden

Pregunta canto debe durar o acceso, cantas persoas o necesitan e se a rede pode sequera entregar o protocolo.

Se a resposta é unha máquina, unha persoa e unhas horas nunha rede onde controlas o router, o oínte integrado é proporcionado. Se o acceso debe sobrevivir reinicios durante un mes, atender a cinco compañeiros con credenciais separadas ou funcionar desde unha rede móbil que non pode recibir conexións entrantes, non o é. Se o protocolo esixe o protocolo IP 47 en lugar dun porto, a rede pode negarse a entregalo con independencia do que admita Windows.

Eses tres respostas eliminan a maior parte da discusión nunha soa pasada. O resto é detalle de implementación.

Onde gaña un extremo no router

Un túnel que remata no router é o encaixe natural para o acceso permanente. O router xa está sempre acendido, pode levar un túnel de sitio a sitio ata outra oficina, e os clientes non necesitan nada instalado se o router ofrece o protocolo que usan.

A limitación é o firmware. Os routers de consumo adoitan admitir só unha parte do que permite a especificación, e un modelo que anuncia compatibilidade con VPN pode non incluír xusto o que tiñas previsto. Revisa a lista de funcións do firmware instalado, non a da familia de produtos.

Onde gaña un servidor OpenVPN

Un servidor OpenVPN nunha máquina pequena sempre acendida encaixa con clientes mixtos, varios usuarios con credenciais separadas e redes onde un só porto amable coa saída é a diferenza entre funcionar e quedar bloqueado. Emite un perfil por cliente, execútase en todas as plataformas principais e, desde o lado do cliente, compórtase como unha aplicación de saída corrente.

Tamén pide un propietario. Alguén ten que renovar certificados, aplicar actualizacións do servidor e ler o rexistro cando un cliente non pode conectarse. Sen esa persoa, un extremo autoaloxado degrádase en silencio ata o día en que importa.

Comproba a ruta antes de prometer acceso

A razón máis común de que falle un oínte de Windows non é a autenticación. É a ruta: PPTP necesita TCP 1723 entrante e GRE, que é o protocolo 47 e non un porto, e moitos routers só redirixen portos. Algunhas redes de acceso non permiten ningunha conexión entrante. Ese único feito descarta o oínte integrado en máis redes que calquera axuste de Windows.

Proba a ruta antes de configurar contas, para que un fallo teña un só candidato en lugar de tres:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Un porto pechado na primeira liña é un problema de redirección ou do operador, non de Windows. A terceira liña é a comprobación que farías tras escoller OpenVPN, onde un só porto UDP á escoita substitúe toda a cuestión do protocolo.

Escollas a opción que escollas, non deixes PPTP mirando a internet como solución a longo prazo; a súa autenticación e o seu cifrado están obsoletos. E se a necesidade real é unha soa aplicación web, un proxy inverso é unha resposta máis pequena que calquera VPN.