SSTP és OpenVPN: ugyanaz a 443-as port, más protokoll

Mindkét lehetőség állhat TCP 443 mögött, ezért az emberek azt feltételezik, hogy felcserélhető végpontok. Nem azok: SSTP szerver PPP-t beszél HTTPS-en belül, míg egy OpenVPN-szerver a saját protokollját beszéli TLS felett vagy nyers UDP-folyamon keresztül. Ha az egyik klienst a másik portjára irányítjuk, olyan kapcsolat jön létre, amely soha nem ér el bejelentkezési kérésig. A választás arról szól, hogy melyik klienst és milyen átvitelt tudod támogatni, nem a számról.

A közös port nem jelent közös protokollt

A TLS kézfogás befejeződhet, és mégis zsákutcába futhat, mert utána a kliens és a szerver nem ért egyet abban, mi következik. Egy csomagrögzítésben tiszta kézfogást látsz, majd olyan alkalmazásadatokat, amelyeket a másik fél elutasít vagy figyelmen kívül hagy. Ez a minta a protokoll-eltérés jele, nem egy tűzfalblokké.

Sem egy átnevezett profil, sem egy másik menüpont nem alakítja át az egyiket a másikká. Az SSTP-kapcsolat a Windows VPN-beállításaiban jön létre kiszolgálócímmel és az üzemeltető hitelesítési adataival, míg az OpenVPN-kapcsolathoz a kliens és a hozzá illő konfigurációs fájl kell. A Microsoft SSTP-specifikációja az elsőt írja le, és nem ír le OpenVPN-kézfogást.

A 443-as port szabályzati kényelem. Átjár olyan hálózatokon, amelyek kevés mást engednek, és ez valódi előny, de semmit nem mond arról, milyen protokoll fut mögötte.

Az SSTP PPP-t tunnelez HTTPS-en belül

A név a felépítést írja le: HTTPS-munkameneten belül szállított PPP-keretek, ami alatta TLS-t és a kliens által ellenőrizhető tanúsítványt jelent. A Windows natív VPN-típusként tartalmazza, így egy kezelt laptop gyakran csatlakozhat az üzemeltető által adott profilon kívül további szoftver nélkül.

A többi platform más történet. A Linux vagy macOS kliens karbantartott megvalósítást igényel, és ezek abban különböznek, mit támogatnak és hogyan jelentik a hibákat. Ellenőrizd azt a klienst, amelyet valóban használni akarsz, ahelyett hogy feltételeznéd a Windows beépített képességének átvihetőségét, és erősítsd meg, hogy a profilban szereplő kiszolgálónév megegyezik a kiszolgáló által bemutatott tanúsítvánnyal.

Az SSTP általában csak TCP. Ez az egyetlen átvitel befolyásolja, hogyan viselkedik veszteséges kapcsolaton, mert az újraküldés a tunelen belül és alatta is megtörténik.

Az OpenVPN saját klienst és átvitelválasztást hoz

Az OpenVPN saját klienst és profilt szállít, ami olyan diagnosztikát ad, amelyet a natív Windows-párbeszéd nem tár fel. A kiszolgáló UDP-n vagy TCP-n figyelhet, és az üzemeltető konfigurációja dönti el, melyiket kell használnia a kliensednek. A rossz átvitelre mutató profil a hitelesítés előtt meghiúsul.

A hitelesítés ugyanúgy konfigurációvezérelt. Egy telepítés csak tanúsítványokat, tanúsítványokat plusz felhasználónevet és jelszót, vagy ezek fölé egy második tényezőt kérhet, és a kliensnek pontosan ehhez az elrendezéshez kell illeszkednie. Az, hogy egy kapcsolat eléri a TLS-szakaszt, nem mondja meg, milyen hitelesítő adatokat kér majd ezután.

Az UDP a szokásos alapértelmezés, mert elkerüli egy megbízható adatfolyam beágyazását egy másik megbízható adatfolyamba. A TCP mód azoknak a hálózatoknak létezik, amelyek blokkolják az UDP-t, és működik, de súlyos veszteség esetén rosszabbnak érezhető, mint az az UDP-útvonal, amelyet helyettesített. Válaszd a TCP-t, ha muszáj, nem azért, mert megbízhatóbbnak hangzik.

Válassz kliens, átvitel és támogatás szerint

Három kérdés dönti el ezek többségét. Szüksége van minden kliens-eszköznek olyan kapcsolatra, amely további szoftver nélkül működik? Engedi-e az UDP-t az a hálózat, amelyre támaszkodsz, vagy a TCP 443 az egyetlen kijárat? És ki támogatja a klienst, a frissítéseit és a helyreállítását, amikor egy profil lejár?

Amikor a kettőt összehasonlítod, ugyanazon az eszközön és ugyanazon a hozzáférési hálózaton tesztelj. Ha az SSTP végpont és az OpenVPN végpont különböző kiszolgálók vagy különböző helyszínek, az eredményed tartalmazza azokat az útvonalakat és gépeket, ahelyett hogy elkülönítené a protokollt. Ez a leggyakoribb módja annak, hogy az ilyen összehasonlítások magabiztos, de téves választ adjanak.

Ezután erősítsd meg, melyiket hoztad létre valójában, mielőtt bármi mást hibakeresnél:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Akárhogy is, fejezd be azzal, hogy teszteled az erőforrást és a DNS-t, amelyre szükséged van, ahelyett hogy sikert hirdetnél az alagút állapotánál. Mindkét protokoll beállítható arra, hogy csak kiválasztott magánforgalmat vigyen, és egy csatlakoztatott alagút működő névfeloldás nélkül törött VPN-nek látszik, amikor valójában osztott alagút vagy DNS-kialakítás.

Kezelt flottánál a profilok terjesztése és a frissítési támogatás általában jóval bármilyen átviteli mérés előtt eldönti a kérdést.