OpenVPN Access Server vs Community: apa yang sebenarnya berpindah

Profil berpindah; daftar pengguna tertinggal. Tim yang beralih antara Access Server dan Community Edition menemui celah itu satu jam setelah cutover, ketika klien pertamanya terautentikasi lalu tidak punya kebijakan grup, tidak punya rute per pengguna, dan tidak punya reset kata sandi mandiri. Kedua produk berbicara protokol yang sama dan menerima klien yang sama, dan justru itulah sebabnya celah itu tetap tak terlihat selama perencanaan. Yang sebenarnya Anda pilih adalah lapisan manajemen dan orang-orang yang memilikinya.

Perlakukan keputusan itu sebagai pertanyaan inventaris, bukan tabel fitur. Tanyakan siapa yang membuat pengguna, siapa yang mencabut sertifikat, dan siapa yang menjawab panggilan pukul 02:00.

Mengapa berkas .ovpn tidak membawa konfigurasi

Profil .ovpn menjabarkan hubungan satu klien dengan satu server: host jarak jauh, protokol, CA, sertifikat dan kunci klien, serta materi tls-crypt apa pun yang tertanam. Jatuhkan berkas itu ke build baru dan klien tetap menyelesaikan handshake, sehingga migrasi tampak selesai. Tidak ada yang mendaftar pengguna, grup mereka, rute statis mereka, atau kebijakan yang memutuskan siapa yang boleh terhubung. Catatan itu hidup di penyimpanan server itu sendiri, dan kedua produk menyimpannya dalam bentuk berbeda.

Di Community Edition padanannya adalah berkas yang Anda pelihara: entri client-config-dir yang memuat opsi per klien seperti ifconfig-push dan iroute, CRL untuk pencabutan, dan kunci tls-crypt. Access Server menyimpan konsep yang sama di basis datanya sendiri dan mengeksposnya lewat konsol web dan alat baris perintah sacli. Konsepnya berpadanan satu sama satu; artefaknya tidak berpindah sama sekali.

Profil juga menyelundupkan perilaku yang tidak disadari sampai ia berubah. Klien dengan redirect-gateway def1 mengirim seluruh penjelajahan lewat server; pindahkan ke build tanpa baris itu dan keluhannya adalah internet rusak. Ketidakcocokan CA atau setelan remote-cert-tls yang salah gagal dengan berisik, dan itu hasil yang baik. Kunci tls-crypt yang hilang gagal sebagai timeout senyap, dan itu bukan hasil yang baik.

Apa yang dimiliki lapisan manajemen

Hitung apa yang bukan protokol: pembuatan akun, reset kata sandi, penugasan grup, pendaftaran MFA, hak koneksi, dan jejak audit yang menjawab siapa terhubung kapan. Community Edition tidak menyediakan satu pun secara langsung. Anda memilih backend autentikasi, menyambungkan PAM, LDAP, atau RADIUS lewat plugin atau auth-user-pass-verify, dan memelihara sisanya sendiri. Access Server mengirimkan portal pengguna, konsol administrasi, dan integrasi dengan penyedia identitas umum. Tidak ada dari kedua susunan yang lebih aman secara bawaan, karena kebijakan tetap harus ditulis oleh orang yang mengenal jaringan.

Hak akses adalah perbedaan operasional yang paling tajam. Access Server dilisensikan menurut jumlah koneksi bersamaan dan menegakkan jumlah itu di perangkat lunak. Di Community Edition, batas global adalah satu baris max-clients, sedangkan apa pun per pengguna atau per grup berarti lebih banyak pekerjaan client-config-dir dan penegakan Anda sendiri. Tim yang tidak berminat pada pemeliharaan itu membeli persis itulah ketika membayar produk komersial.

Lisensi dan dukungan: pos yang tidak dianggarkan siapa pun

Community Edition gratis dan sumber terbuka. Access Server komersial, dan tingkat gratisnya secara historis mencakup sedikit koneksi bersamaan dengan lisensi berbayar di atasnya. Angka apa pun yang dikutip dalam jawaban forum lama sudah usang, jadi periksa ketentuan vendor saat ini sebelum menghitung biaya proyek. Perbandingan yang jujur menambahkan jam yang dihabiskan membangun manajemen pengguna, MFA, dan pemantauan di sisi komunitas ke baris lisensi di sisi komersial.

Kepemilikan dukungan mengikuti pembagian yang sama. Dengan Community Edition, Andalah jalur eskalasi untuk setiap klien aneh dan setiap pembaruan kernel. Dengan Access Server, Anda punya vendor untuk dihubungi, dan Anda mewarisi irama rilisnya, cocok atau tidak dengan jendela perubahan Anda.

Pemeriksaan sebelum cutover

Inventarisasikan apa yang sebenarnya dipegang server yang berjalan sebelum peralihan ke arah mana pun. Di sisi Access Server, ekspor daftar pengguna dan penugasan grup serta catat akun mana yang bergantung pada MFA. Di sisi Community Edition, daftar sertifikat yang diterbitkan, CRL, dan setiap berkas di bawah client-config-dir. Bandingkan kedua daftar baris demi baris, karena selisih di antaranya adalah pekerjaan migrasi.

Uji klien perwakilan selama layanan lama masih berjalan. openvpn --config client.ovpn --verb 4 di latar depan mencetak handshake, rute yang dikirim, dan opsi DNS, dan openssl x509 -in client.crt -noout -subject -enddate menunjukkan sertifikat mana yang benar-benar disajikan klien. Klien yang terhubung tetapi tidak dapat mencapai host internal punya celah rute atau iroute, bukan kegagalan autentikasi.

Pertahankan jalur pemulihan lama tetap hidup sampai penggantinya lulus uji akses ditolak maupun uji yang berhasil. Tulis peta akhir di satu halaman: setiap persyaratan, artefak yang memenuhinya hari ini, dan artefak yang akan memenuhinya sesudahnya.