אנחנו משתמשים ב-OpenVPN: פרוטוקול, מנוע או אפליקציה? מה כדאי לשאול במקום
אותה מילה מציינת פרוטוקול, חבילת שרת ואפליקציית טלפון. הפרידו את התפקיד, ואז שאלו על הלקוח, הפרופיל והמשאב.
המשפט «אנחנו משתמשים ב-OpenVPN» מגיע לכרטיסי תמיכה, לטפסי רכש ולמסמכי קליטה של עובדים חדשים, ובכל אחד מהם הוא עונה על שאלה אחרת. לפעמים הוא מציין פרוטוקול תעבורה, לפעמים את התוכנה בשער, ולפעמים את האפליקציה שעובד חדש אמור להתקין. שלושת העובדות האלה מובילות לצעדים הבאים שונים, ולשאול איזה מהם התכוונו לוקח פחות זמן מלנחש. שאר החקירה נובע מהתשובה הזו.
התחילו בהפרדת התפקיד מהמותג, כי המותג מכסה את כל השלושה.
השם מכסה שלושה תפקידים שנכשלים בדרכים שונות
כפרוטוקול, OpenVPN מתאר כיצד עמיתים תואמים מקימים מנהרה ומגינים על מה שעובר דרכה. כתוכנה, זהו מימוש שמדבר בפרוטוקול הזה בתפקיד לקוח או שרת. כלקוח, זו אפליקציה שמישהו מתקין, עם גרסה משלו, פורמט פרופיל משלו ותכונות ייחודיות של הפלטפורמה. כשל בתפקיד אחד אינו מרמז על כשל באחר, ולכן «OpenVPN למטה» זקוק לנושא.
שאלו מה המדווח יכול לראות: קובץ פרופיל, תוכנה מותקנת, או שער שהוא מנהל. הפרט האחד הזה אומר לכם אם הצעד הבא הוא יומן לקוח, שאלה על החבילה, או בדיקת מאזין בצד השרת.
OpenVPN 2 ו-OpenVPN 3 אינם זוג שדרוג
OpenVPN 2.x פועל הן בתפקיד שרת והן בתפקיד לקוח, והוא מה שרוב פריסות השער עדיין משתמשות בו. OpenVPN 3 הוא מימוש נפרד המופנה ללקוח, עם תצורה ומודל הפעלה משלו, ולא המהדורה הבאה שמתקינים מעל שרת 2.x. OpenVPN Connect הוא אפליקציית לקוח שנבנתה על מנוע OpenVPN 3. התקנה של מי מהם אינה יוצרת שירות יציאה לאינטרנט; היציאה היא מה שהמפעיל הגדיר.
תאימות ברמת הפרוטוקול אינה מתרחבת להוראות הפרופיל, ולכן פרופיל שנטען נקי עדיין עלול להיכשל בהוראה שהלקוח אינו מיישם.
התעבורה אינה האפליקציה שבתוכה
החיבור החיצוני משתמש בתעבורה כמו UDP או TCP כדי להגיע למאזין מוגדר, וכל מה שהמנהרה נושאת נוסע בתוכו. בקשת רשת שנעשית דרך ה-VPN אינה זקוקה למאזין OpenVPN משלה, והיא אינה הופכת למנות OpenVPN על החוט. במצב TLS ערוץ הבקרה מנהל משא ומתן על חומר מפתחות בעוד ערוץ הנתונים מגן על המטען, וזו הפרדה שכדאי להחזיק נכון בקריאת יומנים.
ערבוב השכבות מייצר בקשות כמו פתיחת פורט לאתר שכבר עובד דרך המנהרה. הפורט שייך לחיבור החיצוני, לא לאפליקציה.
מה פרופיל יכול להבטיח ומה לא
פרופיל אומר ללקוח אחד איך להגיע לשירות אחד: נקודת קצה, תעבורה, חומר זהות ולעתים כמה העדפות ניתוב ו-DNS. הוא אינו אומר דבר על מי מפעיל את השירות הזה או אם החשבון מורשה. מסלולים, הגדרות הפותר, כללי העברה ומדיניות גישה קובעים למה ההפעלה מגיעה בפועל. פרופיל שנטען בהצלחה הוא תחילתו של חיבור עובד, לא הוכחה לקיומו.
כשמישהו שואל אם משאב נגיש דרך ה-VPN, התשובה תלויה במדיניות השרת ולא בקובץ התצורה של הלקוח.
בקשו את הדבר שאפשר לספק
הפכו את השם הרחב לשלושה פרטים: הלקוח והגרסה שלו, הפרופיל המורשה עבור הלקוח הזה, והמשאב שאליו האדם צריך להגיע. איתם, אספקה היא משימה קונקרטית. בלעדיהם, כל תשובה היא ניחוש לאיזה OpenVPN התכוונה השאלה.
רשמו את התשובה בבקשה עצמה. הכרטיס הבא יציג את אותה שאלה באותה דרך מעורפלת.