SSTP ընդդեմ OpenVPN-ի՝ նույն 443 պորտը, տարբեր արձանագրություն

Երկու տարբերակներն էլ կարող են լինել TCP 443-ի հետևում, այդ պատճառով մարդիկ ենթադրում են, որ դրանք փոխարինելի վերջնակետեր են։ Դրանք այդպիսին չեն. SSTP սերվերը խոսում է PPP HTTPS-ի ներսում, մինչդեռ OpenVPN սերվերը խոսում է իր սեփական արձանագրությամբ TLS-ի վրա կամ հում UDP հոսքի միջոցով։ Մեկ հաճախորդին մյուսի պորտին ուղղելը ստեղծում է կապ, որը երբեք չի հասնում մուտքագրման հուշման։ Ընտրությունը վերաբերում է թե որ հաճախորդն ու փոխադրումը կարող եք աջակցել, ոչ թե համարին։

Ընդհանուր պորտը ընդհանուր արձանագրություն չի դարձնում

TLS ձեռքսեղմումը կարող է ավարտվել և այնուամենայնիվ ոչ մի տեղ չհանգեցնել, որովհետև դրանից հետո հաճախորդն ու սերվերը համաձայն չեն, թե ինչ ասել հաջորդիվ։ Փաթեթների գրանցման մեջ դուք տեսնում եք մաքուր ձեռքսեղմում, որին հաջորդում են հավելվածի տվյալներ, որոնք մյուս կողմը մերժում կամ անտեսում է։ Այդ օրինաչափությունը արձանագրությունների անհամապատասխանության ստորագրությունն է, ոչ թե հրամուրի արգելափակումը։

Ոչ վերանվանված պրոֆիլը, ոչ էլ այլ ընտրացանկի կետը մեկը մյուսի չի վերածում։ SSTP կապը ստեղծվում է Windows-ի VPN կարգավորումներից սերվերի հասցեով և օպերատորի նույնականացման տվյալներով, մինչդեռ OpenVPN կապին անհրաժեշտ են հաճախորդը և համապատասխան կոնֆիգուրացիայի ֆայլը։ Microsoft-ի SSTP ճշգրտումը նկարագրում է առաջինը և չի նկարագրում OpenVPN ձեռքսեղմում։

443 պորտը քաղաքականության հարմարավետություն է։ Այն անցնում է ցանցերով, որոնք քիչ այլ բան են թույլատրում, և դա իրական առավելություն է, բայց ոչինչ չի ասում, թե որ արձանագրությունն է աշխատում դրա հետևում։

SSTP-ն PPP-ն թունելավորում է HTTPS-ի ներսում

Անվանումը նկարագրում է կառուցվածքը. HTTPS սեսիայի ներսում փոխադրվող PPP շրջանակներ, ինչը նշանակում է TLS ներքևում և վկայական, որը հաճախորդը կարող է ստուգել։ Windows-ը սա ներառում է որպես բնիկ VPN տեսակ, այնպես որ կառավարվող նոթբուքը հաճախ կարող է միանալ առանց լրացուցիչ ծրագրային ապահովման՝ բացի օպերատորի տրամադրած պրոֆիլից։

Այլ հարթակները այլ պատմություն են։ Linux-ի կամ macOS-ի հաճախորդին անհրաժեշտ է պահպանվող իրականացում, և դրանք տարբերվում են նրանով, թե ինչ են աջակցում և ինչպես են հաղորդում սխալների մասին։ Ստուգեք այն հաճախորդը, որը իսկապես պատրաստվում եք օգտագործել, փոխարենը ենթադրելու, որ Windows-ի ներկառուցված հնարավորությունը կտեղափոխվի, և հաստատեք, որ պրոֆիլի սերվերի անունը համապատասխանում է սերվերի ներկայացրած վկայականին։

SSTP-ն սովորաբար միայն TCP է։ Այդ մեկ փոխադրումը ազդում է, թե ինչպես է այն վարվում կորուստներով կապում, որովհետև վերահասցեավորումը տեղի է ունենում ինչպես թունելի ներսում, այնպես էլ դրա տակ։

OpenVPN-ը բերում է իր հաճախորդը և փոխադրման ընտրություն

OpenVPN-ը մատակարարում է իր հաճախորդն ու պրոֆիլը, ինչը ձեզ տալիս է ախտորոշում, որը Windows-ի բնիկ երկխոսությունը չի ցուցադրում։ Սերվերը կարող է լսել UDP-ի կամ TCP-ի վրա, և օպերատորի կոնֆիգուրացիան որոշում է, թե որն պետք է օգտագործի ձեր հաճախորդը։ Սխալ փոխադրմանն ուղղված պրոֆիլը ձախողվում է նույնականացումից առաջ։

Նույնականացումը նույնպես կոնֆիգուրացիայից է կախված։ Տեղադրումը կարող է պահանջել միայն վկայականներ, վկայականներ գումարած օգտանուն և գաղտնաբառ, կամ դրանց վրա երկրորդ գործոն, և հաճախորդը պետք է ճշգրտորեն համապատասխանի այդ դասավորությանը։ Այն, որ կապը հասնում է TLS փուլին, չի ասում, թե ինչ հավատարմագրեր կպահանջի հաջորդիվ։

UDP-ն սովորական լռելյայն է, որովհետև խուսափում է հուսալի հոսքը մեկ այլ հուսալի հոսքի մեջ ներդնելուց։ TCP ռեժիմը գոյություն ունի UDP-ն արգելափակող ցանցերի համար, և այն աշխատում է, բայց ծանր կորուստը կարող է այն ավելի վատ զգացնել, քան այն UDP ուղին, որը փոխարինել է։ Ընտրեք TCP, երբ պարտադիր է, ոչ թե որովհետև այն ավելի հուսալի է հնչում։

Ընտրեք ըստ հաճախորդի, փոխադրման և աջակցության

Երեք հարց լուծում են այս որոշումների մեծ մասը։ Արդյո՞ք յուրաքանչյուր հաճախորդ սարքի պետք է կապ, որն աշխատում է առանց լրացուցիչ ծրագրերի։ Արդյո՞ք ձեր կախված ցանցը թույլատրում է UDP, թե՞ TCP 443-ը միակ ելքն է։ Եվ ո՞վ է աջակցում հաճախորդին, նրա թարմացումներին և վերականգնմանը, երբ պրոֆիլը լրանում է։

Երբ համեմատում եք երկուսը, փորձարկեք նույն սարքում և նույն մուտքի ցանցում։ Եթե SSTP վերջնակետը և OpenVPN վերջնակետը տարբեր սերվերներ կամ տարբեր վայրեր են, ձեր արդյունքը ներառում է այդ երթուղիներն ու մեքենաները՝ արձանագրությունը մեկուսացնելու փոխարեն։ Սա այն ամենասովորական ձևն է, որով նման համեմատությունները տալիս են վստահ, բայց սխալ պատասխան։

Այնուհետև հաստատեք, թե որն եք իսկապես հաստատել, նախքան որևէ այլ բան վրիպազերծելը.

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Ինչպես էլ որ լինի, ավարտեք փորձարկելով ձեզ անհրաժեշտ ռեսուրսը և DNS-ը, փոխարենը թունելի վիճակում հաջողություն հայտարարելու։ Երկու արձանագրություններն էլ կարելի է կարգավորել՝ տեղափոխելու միայն ընտրված մասնավոր տրաֆիկ, և աշխատող անվանալուծում չունեցող միացված թունելը կարծես կոտրված VPN լինի, երբ իրականում բաժանված թունելի կամ DNS-ի ձևավորում է։

Կառավարվող պարկում պրոֆիլների բաշխումն ու թարմացումների աջակցությունը սովորաբար լուծում են հարցը շատ ավելի վաղ, քան ցանկացած փոխադրման չափում։