OpenVPN Access Server बनाम Community: वास्तव में क्या स्थानांतरित होता है

प्रोफ़ाइल स्थानांतरित होते हैं; उपयोगकर्ता सूचियाँ पीछे रह जाती हैं। Access Server और Community Edition के बीच बदलाव करने वाली टीम को कटओवर के एक घंटे बाद यही अंतर दिखता है, जब उसका पहला क्लाइंट प्रमाणित होता है और फिर उसके पास न कोई समूह नीति होती है, न प्रति-उपयोगकर्ता मार्ग, और न स्व-सेवा पासवर्ड रीसेट। दोनों उत्पाद एक ही प्रोटोकॉल बोलते हैं और एक ही क्लाइंट स्वीकार करते हैं, और इसीलिए योजना के दौरान यह अंतर अदृश्य रहता है। आप वास्तव में प्रबंधन परत और उसे रखने वाले लोगों को चुन रहे हैं।

निर्णय को सुविधा-तालिका नहीं, बल्कि सूची-संबंधी प्रश्न मानें। पूछें कि कौन उपयोगकर्ता बनाता है, कौन प्रमाणपत्र रद्द करता है, और 02:00 बजे कौन फ़ोन उठाता है।

.ovpn फ़ाइल सेटअप क्यों नहीं लाती

एक .ovpn प्रोफ़ाइल एक क्लाइंट के एक सर्वर से संबंध का वर्णन करता है: दूरस्थ होस्ट, प्रोटोकॉल, CA, क्लाइंट प्रमाणपत्र और कुंजी, तथा कोई भी इनलाइन tls-crypt सामग्री। उस फ़ाइल को नए बिल्ड में डालें और क्लाइंट फिर भी हैंडशेक पूरा कर लेता है, इसलिए माइग्रेशन समाप्त दिखता है। उसमें उपयोगकर्ता, उनके समूह, उनके स्थिर मार्ग या यह तय करने वाली नीति कुछ भी सूचीबद्ध नहीं है कि किसे जुड़ने की अनुमति थी। वे रिकॉर्ड सर्वर के अपने भंडारण में रहते हैं, और दोनों उत्पाद उन्हें अलग रूपों में रखते हैं।

Community Edition में समकक्ष वे फ़ाइलें हैं जो आप रखते हैं: प्रति-क्लाइंट ifconfig-push और iroute जैसे विकल्प रखने वाली client-config-dir प्रविष्टियाँ, रद्दीकरण के लिए CRL, और tls-crypt कुंजी। Access Server वही अवधारणाएँ अपने डेटाबेस में रखता है और उन्हें वेब कंसोल तथा sacli कमांड-लाइन टूल के ज़रिए प्रस्तुत करता है। अवधारणाएँ एक-से-एक मेल खाती हैं; कलाकृतियाँ बिलकुल नहीं हिलतीं।

प्रोफ़ाइल ऐसा व्यवहार भी चुपचाप ले आते हैं जिसे बदलने तक कोई नहीं देखता। redirect-gateway def1 वाला क्लाइंट सारा ब्राउज़िंग सर्वर से भेजता है; उसे उस पंक्ति के बिना बिल्ड में ले जाएँ और शिकायत यह होगी कि इंटरनेट टूट गया। CA का मेल न खाना या गलत remote-cert-tls सेटिंग ज़ोर से विफल होती है, जो अच्छा परिणाम है। गायब tls-crypt कुंजी शांत टाइमआउट के रूप में विफल होती है, जो अच्छा नहीं है।

प्रबंधन परत क्या रखती है

जो प्रोटोकॉल नहीं है उसे गिनें: खाता बनाना, पासवर्ड रीसेट, समूह आवंटन, MFA नामांकन, कनेक्शन अधिकार, और वह ऑडिट ट्रेल जो बताता है कि किसने कब जुड़ा। Community Edition इनमें से कुछ भी सीधे नहीं देता। आप एक प्रमाणीकरण बैकएंड चुनते हैं, प्लगइन या auth-user-pass-verify के ज़रिए PAM, LDAP या RADIUS जोड़ते हैं, और बाकी खुद बनाए रखते हैं। Access Server उपयोगकर्ता पोर्टल, प्रशासन कंसोल और सामान्य पहचान प्रदाताओं के साथ एकीकरण देता है। कोई भी व्यवस्था डिफ़ॉल्ट रूप से अधिक सुरक्षित नहीं है, क्योंकि नीति अब भी नेटवर्क जानने वाले किसी व्यक्ति को ही लिखनी पड़ती है।

अधिकार सबसे तीखा परिचालन अंतर हैं। Access Server समवर्ती कनेक्शनों की गिनती के आधार पर लाइसेंस पाता है और उस गिनती को सॉफ़्टवेयर में लागू करता है। Community Edition में वैश्विक सीमा एक ही max-clients पंक्ति है, जबकि प्रति उपयोगकर्ता या प्रति समूह कुछ भी अधिक client-config-dir काम और आपका अपना प्रवर्तन है। जिस टीम में उस रखरखाव का मन नहीं है, वह वाणिज्यिक उत्पाद के पैसे देते समय ठीक यही खरीदती है।

लाइसेंसिंग और समर्थन: वह मद जिसे कोई बजट में नहीं रखता

Community Edition मुफ़्त और ओपन सोर्स है। Access Server वाणिज्यिक है, और उसका मुफ़्त स्तर ऐतिहासिक रूप से थोड़े समवर्ती कनेक्शनों को कवर करता रहा है, उससे ऊपर सशुल्क लाइसेंस है। किसी पुराने फ़ोरम उत्तर में बताया कोई भी आँकड़ा अब पुराना है, इसलिए परियोजना की लागत लगाने से पहले विक्रेता की मौजूदा शर्तें जाँचें। ईमानदार तुलना सामुदायिक पक्ष में उपयोगकर्ता प्रबंधन, MFA और निगरानी बनाने में लगे घंटों को वाणिज्यिक पक्ष की लाइसेंस पंक्ति में जोड़ती है।

समर्थन का स्वामित्व उसी विभाजन का अनुसरण करता है। Community Edition के साथ हर अजीब क्लाइंट और हर कर्नेल अपडेट के लिए एस्केलेशन मार्ग आप ही हैं। Access Server के साथ फ़ोन करने को विक्रेता है, और आपकी परिवर्तन-खिड़की में फिट हो या न हो, उसकी रिलीज़ लय आपको विरासत में मिलती है।

कटओवर से पहले करने योग्य जाँचें

किसी भी दिशा में कटओवर से पहले सूची बनाएँ कि चल रहा सर्वर वास्तव में क्या रखता है। Access Server की ओर उपयोगकर्ता सूची और समूह आवंटन निर्यात करें और नोट करें कि कौन से खाते MFA पर निर्भर हैं। Community Edition की ओर जारी प्रमाणपत्र, CRL और client-config-dir के अंतर्गत हर फ़ाइल सूचीबद्ध करें। दोनों सूचियों की पंक्ति-दर-पंक्ति तुलना करें, क्योंकि उनके बीच का अंतर ही माइग्रेशन का काम है।

पुरानी सेवा चलते रहते ही प्रतिनिधि क्लाइंट जाँचें। openvpn --config client.ovpn --verb 4 अग्रभूमि में हैंडशेक, भेजे गए मार्ग और DNS विकल्प छापता है, और openssl x509 -in client.crt -noout -subject -enddate दिखाता है कि क्लाइंट वास्तव में कौन सा प्रमाणपत्र प्रस्तुत करता है। ऐसा क्लाइंट जो जुड़ता है पर आंतरिक होस्ट तक नहीं पहुँचता, उसमें मार्ग या iroute का अंतर है, प्रमाणीकरण विफलता नहीं।

पुराना पुनर्प्राप्ति मार्ग तब तक जीवित रखें जब तक प्रतिस्थापन सफल परीक्षण के साथ-साथ अस्वीकृत-पहुँच परीक्षण भी पास न कर ले। अंतिम मानचित्र एक पृष्ठ पर लिखें: हर आवश्यकता, आज उसे संतुष्ट करने वाली कलाकृति, और बाद में उसे संतुष्ट करने वाली कलाकृति।