OpenVPN vagy IKEv2: négy ellenőrzés a protokollválasztás előtt

Az OpenVPN és az IKEv2 közötti választást általában protokollkérdésként vitatják meg, és ez a keretezés elpazarolja a döntést. Azt dönti el, hogy a szerver és az eszközök ugyanazt a teljes profilt támogatják-e, és hogy ez a profil túléli-e a hálózatok közötti mozgást. A két verem nem fordítható egymásba: az OVPN-fájl nem más szintaxisú IKEv2-profil. Négy ellenőrzés sorrendben gyorsabban válaszol a kérdésre, mint bármely funkciótáblázat.

A hiányzó ügyfél lezárja a vitát

A Windows és a macOS IKEv2-ügyféllel érkezik, így az IKEv2-profil ott nem kerül többe, és örökli az operációs rendszer által már kínált kiépítési lehetőségeket. Az OpenVPN ugyanezeken a gépeken harmadik féltől származó ügyfelet jelent, amelyet telepíteni, frissíteni és támogatni kell, és ennek az ügyfélnek minden, a profil által használt beállítást el kell fogadnia. Számolja össze a lefedendő platformokat, mielőtt bármi mást összehasonlítana, mert a működő ügyfél nélküli platform egyáltalán nem összehasonlítási pont.

A Windows egyetlen paranccsal listázza a már létező profilokat, és megmutatja, melyik milyen típusú. A kiírt név az a név, amelyet a későbbi ellenőrzések használnak.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Az ügyfél telepítésére vonatkozó kérés a valódi válasz az OpenVPN-oszlopra ezeken a platformokon, és ez telepítési feladat, nem protokollkorlát. Egyik elrendezés sem szünteti meg a bizalmi ellenőrzéseket, az azonosítás ellenőrzését vagy a karbantartást. Kérdezze meg, hogyan osztják el a profilokat, hogyan újítják meg a hitelesítő adatokat és hogyan távolítják el az elveszett eszközt, mielőtt elköteleződik. Egy egyszerű telepítés még mindig elrejthet egy helyreállítási folyamatot, amelyet senki sem akar hétvégén lefuttatni.

A mobilitás közös beállítás, nem protokollígéret

Az IKEv2 akkor használhat MOBIKE-ot, ha mindkét vég támogatja és engedélyezi, ami lehetővé teszi az ügyfél számára, hogy megtartsa az alagutat, miközben a címe változik. Az RFC 4555 határozza meg a kiterjesztést, és a feltételes megfogalmazás számít: az a szerver, amely figyelmen kívül hagyja a képességet, inkább újratárgyal. Az eredmény fájlesátadásnál azonosnak, élő hívásnál nagyon különbözőnek tűnhet.

Tesztelje azt az átmenetet, amely igazán érdekli, valami futó dologgal, amelyet figyelhet. Windows alatt tartsa futva a ping -t <internal-host>, máshol a sima ping parancsot, majd váltson Wi-Fi-ről mobilhálózatra, és figyelje a szüneteket. A MOBIKE hibája az ügyfélnaplóban teljes újrahitelesítésként jelenik meg, nem csendes címfrissítésként. Azt méri, hogy az alagút túléli-e a változást, nem azt, hogy a protokoll hirdet-e támogatást.

Az OpenVPN-ügyfelek saját platformviselkedésük és profilidőzítőik szerint kapcsolódnak újra, ezért ugyanaz a teszt másféle megszakítást eredményezhet. A felhasználóinak fontos eseményt hasonlítsa össze, ne a protokollon lévő címkét.

A hitelesítő adatok a szolgáltatáshoz tartoznak, nem a veremhez

A tanúsítványok és más bejelentkezési megoldások ahhoz a szolgáltatáshoz tartoznak, amely a kapcsolatot lezárja. Az egyik ügyfél jelszókérése semmit sem mond a másikkal való kompatibilitásról, és az a profil, amely egy másik átjáróval működik, semmit sem mond erről. Tartsa érintetlenül a szerveridentitás szabályait, miközben a két vermet összehasonlítja. A protokollváltás a hiba azonosítása előtt általában egy második, összeférhetetlen profilt eredményez.

Vizsgálja meg a hitelesítő adatot, amelyet az ügyfél bemutat, mielőtt bármelyik protokollt hibáztatja, mert a lejárt vagy hibásan kiállított tanúsítvány mindkettőn ugyanúgy meghiúsul. Az alábbi kimenet a tárgyat, a kibocsátót és az érvényességi dátumokat mutatja a titkos kulcs olvasása nélkül.

openssl x509 -in client.crt -noout -subject -issuer -dates

Vállalati kapcsolatnál azt a módszert használja, amelyet a vállalat közzétesz, és ne kezelje kísérletként az összehasonlítást. Ha saját maga hasonlítja össze a kettőt, először ellenőrizze, hogy mindkét lehetőség ugyanazon az átjárón végződik-e, mert ez az egyetlen részlet dönti el, hogy az eredményének mekkora része szól a protokollról. Az a visszautasítás, amely megnevezi a hitelesítő adatot, hitelesítőadat-probléma, és a protokollváltás semmilyen mennyisége nem javítja meg.

Ellenőrizze, mit irányít valójában az alagút

Csatlakozás után erősítse meg, hogy a szükséges útvonal létezik, és a nevek feloldódnak. A belső erőforrásokhoz létező profil szándékosan a helyi útvonalon hagyhatja a szokásos böngészést, és ez szabályzatdöntés, nem hiba. Az számít, hogy a csapata által használt célállomások elérhetők-e az alagúton keresztül.

Két parancs fedi le az útvonalat és a névfeloldást Windows alatt. A Linux megfelelői a ip route show default és a resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Az az alagút, amely felépül, és semmi hasznosat nem irányít, gyakori eredmény, amikor a profilt szolgáltatások között másolták, és egy általános kapcsolatteszt nem mutatja meg, mert az interfész fel van állva. Azt az erőforrást tesztelje, amelyet a felhasználói először nyitnak meg, ne egy nyilvános címet, amelyet bármelyik útvonal elérhet. Ha a név nyilvános címre oldódik fel, miközben az útvonal az alagútba mutat, a DNS-válasz és az útvonal különböző döntésekhez tartozik, és mindkettőt javítani kell.

Az ellenőrzések után mérlegelje a karbantartást

Absztrakt értelemben egyik protokoll sem karbantarthatóbb. A karbantartás attól függ, ki üzemelteti az átjárót, hogyan jutnak el a profilok az eszközökre, és milyen gyorsan veszíti el a hozzáférést egy elveszett eszköz. Egy egyszerű végpontügyfél egy nehezebben üzemeltethető szerver előtt állhat, és ez fordítva is előfordul. Kérdezze meg, hogy a kettő közül melyiket tudja a csapata tovább működtetni, miután az építője távozik.

Válassza azt a támogatott kapcsolatot, amely lefedi a munkát, majd tesztelje a valóban szükséges hozzáféréshez, ne egy funkciólistához. Jegyezze fel, melyik átjárón végződik az egyes lehetőség, mert két különböző átjáró az összehasonlítást legalább annyira teszi útvonalakról szólóvá, mint protokollokról szólóvá. Ismételje meg a négy ellenőrzést azon az eszközön, amelyet valóban magával visz, és tartsa meg azt a profilt, amely azon átmegy.