OpenVPN թե IKEv2. չորս ստուգում՝ նախքան արձանագրություն ընտրելը

OpenVPN-ի և IKEv2-ի միջև ընտրությունը սովորաբար քննարկվում է որպես արձանագրության հարց, և այդ շրջանակը վատնում է որոշումը։ Որոշումը կախված է նրանից՝ ձեր սերվերն ու սարքերը աջակցում են նույն ամբողջական պրոֆիլին, և արդյոք այդ պրոֆիլը դիմանում է ցանցերի միջև ձեր տեղաշարժին։ Երկու կույտերը միմյանց չեն թարգմանվում՝ OVPN ֆայլը IKEv2 պրոֆիլ չէ այլ շարահյուսությամբ։ Չորս ստուգում՝ հերթով կատարված, պատասխանում են հարցին ավելի արագ, քան ցանկացած հատկանիշների աղյուսակ։

Բացակայող հաճախորդը վերջ է դնում քննարկմանը

Windows-ը և macOS-ը տալիս են IKEv2 հաճախորդ, ուստի IKEv2 պրոֆիլն այնտեղ տեղակայելը լրացուցիչ ծախս չի պահանջում և ժառանգում է օպերացիոն համակարգի արդեն տրամադրած տրամադրման ընտրանքները։ Նույն մեքենաների վրա OpenVPN-ը նշանակում է երրորդ կողմի հաճախորդ, որը պետք է տեղադրել, թարմացնել և աջակցել, և այդ հաճախորդը պետք է ընդունի պրոֆիլի օգտագործած յուրաքանչյուր ընտրանք։ Հաշվեք այն հարթակները, որոնք պետք է ծածկեք, նախքան որևէ այլ բան համեմատելը, որովհետև աշխատող հաճախորդ չունեցող հարթակը համեմատության կետ չէ բոլորովին։

Windows-ում մեկ հրաման թվարկում է արդեն գոյություն ունեցող պրոֆիլները և ցույց տալիս, թե յուրաքանչյուրը ինչ տեսակի է։ Այն անունը, որը նա տպում է, այն անունն է, որն օգտագործում են հետագա ստուգումները։

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Հաճախորդ տեղադրելու հուշումը OpenVPN սյունակի իրական պատասխանն է այդ հարթակներում, և դա տեղակայման խնդիր է, ոչ թե արձանագրության սահմանափակում։ Ոչ մի դասավորություն չի վերացնում վստահության ստուգումները, ինքնության հաստատումը կամ սպասարկումը։ Հարցրեք, թե ինչպես են բաշխվում պրոֆիլները, ինչպես են թարմացվում հավատարմագրերը և ինչպես է հեռացվում կորցրած սարքը՝ նախքան պարտավորվելը։ Պարզ տեղադրումը դեռ կարող է թաքցնել վերականգնման ընթացակարգ, որը ոչ ոք չի ուզում գործարկել հանգստյան օրերին։

Շարժունակությունը համատեղ կարգավորում է, ոչ թե արձանագրության խոստում

IKEv2-ը կարող է օգտագործել MOBIKE, երբ երկու ծայրերն աջակցում և միացնում են այն, ինչը թույլ է տալիս հաճախորդին պահել իր թունելը, մինչ դրա հասցեն փոխվում է։ RFC 4555-ը սահմանում է ընդլայնումը, և պայմանական ձևակերպումը կարևոր է՝ սերվերը, որն անտեսում է այդ հնարավորությունը, փոխարենը նորից բանակցում է։ Արդյունքը կարող է նույնը թվալ ֆայլի փոխանցման համար և շատ տարբեր՝ ուղիղ զանգի համար։

Փորձարկեք այն անցումը, որն իսկապես կարևոր է ձեզ, ինչ-որ աշխատող բանի հետ, որը կարող եք դիտել։ Windows-ում թողեք ping -t <internal-host>-ը աշխատի, կամ այլ տեղ՝ պարզ ping, ապա Wi-Fi-ից անցեք բջջային ցանց և դիտեք ընդմիջումները։ MOBIKE-ի ձախողումը հաճախորդի մատյանում երևում է որպես ամբողջական վերականգնում, այլ ոչ թե հասցեի հանգիստ թարմացում։ Դուք չափում եք՝ թունելը դիմանու՞մ է փոփոխությանը, ոչ թե՝ արդյոք արձանագրությունը գովազդում է աջակցություն։

OpenVPN հաճախորդները վերամիանում են ըստ իրենց հարթակի վարքի և պրոֆիլի ժամաչափերի, ուստի նույն փորձարկումը կարող է տալ ընդհատման այլ ձև։ Համեմատեք այն իրադարձությունը, որ կարևոր է ձեր օգտվողներին, ոչ թե արձանագրության պիտակը։

Հավատարմագրերը ծառայությանն են պատկանում, ոչ թե կույտին

Վկայագրերը և այլ մուտքի դասավորությունները պատկանում են այն ծառայությանը, որն ավարտում է կապը։ Մեկ հաճախորդում գաղտնաբառի հուշումը ոչինչ չի ասում մյուսի հետ համատեղելիության մասին, և այն պրոֆիլը, որն աշխատում է այլ դարպասի հետ, ոչինչ չի ասում այս մեկի մասին։ Թողեք սերվերի ինքնության կանոնները անփոփոխ՝ երկու կույտերը համեմատելիս։ Արձանագրությունների փոխումը մինչև ձախողման բացահայտումը սովորաբար ստեղծում է երկրորդ անհամատեղելի պրոֆիլ։

Ուսումնասիրեք այն հավատարմագիրը, որը հաճախորդը կներկայացնի, նախքան որևէ արձանագրության մեղադրելը, որովհետև ժամկետանց կամ սխալ տրված վկայագիրը նույն կերպ է ձախողվում երկուսի դեպքում։ Ստորև բերվածը ցույց է տալիս սուբյեկտը, թողարկողին և վավերականության ամսաթվերը՝ առանց մասնավոր բանալին կարդալու։

openssl x509 -in client.crt -noout -subject -issuer -dates

Կորպորատիվ կապի համար օգտագործեք այն եղանակը, որը հրապարակում է ընկերությունը, և դադարեք համեմատությունը փորձարկում համարել։ Եթե ինքներդ եք համեմատում երկուսը, նախ ստուգեք՝ արդյոք երկու տարբերակներն էլ ավարտվում են նույն դարպասի վրա, քանի որ այդ մեկ մանրամասն է որոշում, թե ձեր արդյունքի ինչ մասն է արձանագրության մասին։ Մերժումը, որը նշում է հավատարմագիրը, հավատարմագրի խնդիր է, և արձանագրությունների փոխման ոչ մի քանակ այն չի վերանորոգի։

Ստուգեք, թե թունելն իրականում ինչ է ուղղորդում

Միանալուց հետո հաստատեք, որ ձեզ անհրաժեշտ երթուղին գոյություն ունի, և անունները լուծվում են։ Ներքին ռեսուրսների համար գոյություն ունեցող պրոֆիլը կարող է դիտավորությամբ սովորական զննարկումը թողնել տեղական ուղու վրա, և դա քաղաքականության որոշում է, ոչ թե խափանում։ Կարևոր է, թե արդյոք ձեր թիմի օգտագործած նշանակակետերը հասանելի են թունելով։

Windows-ում երկու հրաման ծածկում են երթուղին և անվան որոնումը։ Linux-ում համարժեքներն են ip route show default և resolvectl query <internal-host>։

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Թունելը, որը բարձրանում է և ոչ մի օգտակար բան չի ուղղորդում, սովորական ելք է, երբ պրոֆիլը պատճենվել է ծառայությունների միջև, և ընդհանուր կապակցման թեստը չի ցուցադրի դա, որովհետև ինտերֆեյսը բարձրացված է։ Փորձարկեք այն ռեսուրսը, որը ձեր օգտվողներն առաջինն են բացում, ոչ թե հանրային հասցե, որին կարող է հասնել ցանկացած ուղի։ Եթե անունը լուծվում է հանրային հասցեի, մինչ երթուղին ցույց է տալիս թունելի ներսը, DNS-ի պատասխանը և երթուղին պատկանում են տարբեր որոշումների և երկուսն էլ պետք է ուղղվեն։

Ստուգումներից հետո կշռեք սպասարկումը

Վերացական իմաստով ոչ մի արձանագրություն ավելի սպասարկելի չէ։ Սպասարկումը կախված է նրանից, թե ով է շահագործում դարպասը, ինչպես են պրոֆիլները հասնում սարքերին և ինչ արագությամբ կորցրած սարքը կորցնում է հասանելիությունը։ Պարզ վերջնակետային հաճախորդը կարող է կանգնել ավելի բարդ սերվերի առջև, և հակառակը նույնպես լինում է։ Հարցրեք, թե երկուսից որն է ձեր թիմը կարող շարունակել աշխատեցնել այն բանից հետո, երբ այն կառուցողը հեռանա։

Ընտրեք այն աջակցվող կապը, որը ծածկում է աշխատանքը, ապա փորձարկեք այն ձեզ իրականում անհրաժեշտ հասանելիության դեմ, ոչ թե հատկանիշների ցանկի։ Գրանցեք, թե յուրաքանչյուր տարբերակ որ դարպասի վրա է ավարտվում, որովհետև երկու տարբեր դարպասներ համեմատությունը դարձնում են նույնքան երթուղիների, որքան արձանագրությունների մասին։ Կրկնեք չորս ստուգումները այն սարքում, որը իրականում կկրեք, և պահեք այն պրոֆիլը, որն անցնում է դրա վրա։