OpenVPN Access Server ընդդեմ Community-ի՝ ինչ է իրականում տեղափոխվում

Պրոֆիլները տեղափոխվում են, օգտատերերի ցանկերը մնում են հետևում։ Access Server-ի և Community Edition-ի միջև անցնող թիմը հանդիպում է այդ բացին անցման առաջին ժամին, երբ նրա առաջին հաճախորդը նույնականացվում է, և հետո չունի ոչ խմբային քաղաքականություն, ոչ մեկ օգտատիրոջ երթուղի, ոչ էլ ինքնասպասարկվող գաղտնաբառի վերականգնում։ Երկու ապրանքներն էլ խոսում են նույն արձանագրությամբ և ընդունում են նույն հաճախորդին, և հենց դրա համար է բացը պլանավորման ընթացքում անտեսանելի մնում։ Այն, ինչ դուք իրականում ընտրում եք, կառավարման շերտն է և այն մարդիկ, ովքեր տիրապետում են դրան։

Վերաբերվեք որոշմանը որպես գույքագրման հարց, ոչ թե ֆունկցիաների աղյուսակ։ Հարցրեք, թե ով է ստեղծում օգտատերեր, ով է չեղարկում վկայագրերը, և ով է պատասխանում զանգին ժամը 02:00-ին։

Ինչու .ovpn ֆայլը չի կրում կարգավորումը

.ovpn պրոֆիլը նկարագրում է մեկ հաճախորդի հարաբերությունը մեկ սերվերի հետ՝ հեռավոր հոսթը, արձանագրությունը, CA-ն, հաճախորդի վկայագիրն ու բանալին, և ցանկացած ներկառուցված tls-crypt նյութ։ Նետեք այդ ֆայլը նոր տեղադրման մեջ, և հաճախորդը միևնույն է ավարտում է ձեռքսեղմումը, այնպես որ տեղափոխումը ավարտված է թվում։ Դրա մեջ ոչինչ չի թվարկում օգտատերերին, նրանց խմբերը, նրանց ստատիկ երթուղիները կամ այն քաղաքականությունը, որը որոշել է, թե ում ընդհանրապես թույլատրվում է միանալ։ Այդ գրառումներն ապրում են սերվերի սեփական պահոցում, և երկու ապրանքները դրանք պահում են տարբեր ձևերով։

Community Edition-ում համարժեքները ձեր պահած ֆայլերն են՝ client-config-dir գրառումներ՝ յուրաքանչյուր հաճախորդի ընտրանքներով, ինչպիսիք են ifconfig-push-ը և iroute-ը, չեղարկումների համար CRL և tls-crypt բանալին։ Access Server-ը նույն հասկացությունները պահում է իր տվյալների բազայում և ներկայացնում է դրանք վեբ կոնսոլի և sacli հրամանի տողի գործիքի միջոցով։ Հասկացությունները համապատասխանում են մեկը մեկին, իսկ արտեֆակտերը բոլորովին չեն տեղափոխվում։

Պրոֆիլները նաև մաքսանենգությամբ բերում են վարքագիծ, որը ոչ ոք չի նկատում, մինչև այն չփոխվի։ redirect-gateway def1 ունեցող հաճախորդը ողջ զննարկումն ուղարկում է սերվերի միջով, տեղափոխեք այն առանց այդ տողի տեղադրման, և բողոքը կլինի, թե ինտերնետը կոտրվել է։ CA-ի անհամապատասխանությունը կամ սխալ remote-cert-tls կարգավորումը բարձր ձայնով ձախողվում է, ինչը լավ արդյունք է։ Բացակայող tls-crypt բանալին ձախողվում է որպես լուռ ժամկետանցում, ինչը լավ չէ։

Ինչ է տիրապետում կառավարման շերտը

Հաշվեք այն, ինչ արձանագրություն չէ՝ հաշիվների ստեղծում, գաղտնաբառի վերականգնում, խմբերի նշանակում, MFA գրանցում, միացման իրավունքներ և աուդիտի հետք, որը պատասխանում է, թե ով երբ է միացել։ Community Edition-ը դրանցից ոչ մեկն ուղղակիորեն չի տրամադրում։ Դուք ընտրում եք նույնականացման բեքենդ, միացնում PAM-ը, LDAP-ը կամ RADIUS-ը փլագինի կամ auth-user-pass-verify-ի միջոցով, և մնացածը ինքներդ եք պահպանում։ Access Server-ը մատակարարում է օգտատերերի պորտալ, ադմինիստրացիոն կոնսոլ և ինտեգրացիաներ սովորական ինքնության մատակարարների հետ։ Երկու կարգավորումներից ոչ մեկը լռելյայն ավելի ապահով չէ, որովհետև քաղաքականությունը դեռ պետք է գրի մեկը, ով ճանաչում է ցանցը։

Իրավունքներն ամենասուր գործառնական տարբերությունն են։ Access Server-ը լիցենզավորվում է միաժամանակյա միացումների քանակով և այդ քանակը պարտադրում է ծրագրով։ Community Edition-ում համաշխարհային սահմանաչափը մեկ max-clients տող է, մինչդեռ օգտատիրոջ կամ խմբի հաշվով ամեն ինչ նշանակում է ավելի շատ client-config-dir աշխատանք և ձեր սեփական կիրառում։ Այդ սպասարկման հանդեպ ախորժակ չունեցող թիմը հենց դա է գնում, երբ վճարում է առևտրային ապրանքի համար։

Լիցենզավորում և աջակցություն. այն տողը, որը ոչ ոք բյուջե չի դնում

Community Edition-ը անվճար է և բաց կոդով։ Access Server-ը առևտրային է, և նրա անվճար մակարդակը պատմականորեն ընդգրկել է փոքր թվով միաժամանակյա միացումներ, որից բարձր՝ վճարովի լիցենզիա։ Հին ֆորումի պատասխանում մեջբերված ցանկացած թիվ այժմ հնացած է, ուստի նախքան նախագծի արժեքը հաշվարկելը ստուգեք վաճառողի գործող պայմանները։ Ազնիվ համեմատությունը համայնքի կողմում օգտատերերի կառավարման, MFA-ի և մոնիտորինգի կառուցման վրա ծախսված ժամերը գումարում է առևտրային կողմի լիցենզիայի տողին։

Աջակցության սեփականությունը հետևում է նույն բաժանմանը։ Community Edition-ի հետ դուք եք էսկալացիայի ուղին յուրաքանչյուր տարօրինակ հաճախորդի և յուրաքանչյուր միջուկի թարմացման համար։ Access Server-ի հետ դուք ունեք վաճառող, ում կարող եք զանգահարել, և ժառանգում եք նրա թողարկումների ռիթմը՝ անկախ նրանից, թե արդյոք այն համապատասխանում է ձեր փոփոխությունների պատուհանին։

Ստուգումներ, որոնք պետք է անել անցումից առաջ

Նախքան ցանկացած ուղղությամբ անցումը գույքագրեք, թե ինչ է իրականում պահում աշխատող սերվերը։ Access Server-ի կողմում արտահանեք օգտատերերի ցանկը և խմբերի նշանակումները, և նշեք, թե որ հաշիվներն են հենվում MFA-ի վրա։ Community Edition-ի կողմում թվարկեք տրված վկայագրերը, CRL-ը և client-config-dir-ի տակ գտնվող յուրաքանչյուր ֆայլ։ Համեմատեք երկու ցանկերը տող առ տող, որովհետև նրանց միջև եղած տարբերությունը տեղափոխման աշխատանքն է։

Փորձարկեք ներկայացուցիչ հաճախորդներ, քանի դեռ հին ծառայությունը դեռ աշխատում է։ openvpn --config client.ovpn --verb 4-ը առաջին պլանում տպում է ձեռքսեղմումը, ուղարկված երթուղիները և DNS ընտրանքները, իսկ openssl x509 -in client.crt -noout -subject -enddate-ը ցույց է տալիս, թե հաճախորդն իրականում որ վկայագիրն է ներկայացնում։ Այն հաճախորդը, որը միանում է, բայց չի հասնում ներքին հոսթին, ունի երթուղու կամ iroute-ի բաց, ոչ թե նույնականացման ձախողում։

Կենդանի պահեք հին վերականգնման ուղին, մինչև փոխարինողը հանձնի մերժված մուտքի փորձարկումը, ինչպես նաև հաջող փորձարկումը։ Վերջնական քարտեզը գրեք մեկ էջում՝ յուրաքանչյուր պահանջ, այն արտեֆակտը, որը բավարարում է այն այսօր, և արտեֆակտը, որը կբավարարի այն հետո։