SSTP vs OpenVPN: port 443 sama, protokol berbeda

Kedua opsi bisa berada di belakang TCP 443, sehingga orang menganggap keduanya endpoint yang bisa saling ditukar. Padahal tidak: SSTP server berbicara PPP di dalam HTTPS, sedangkan server OpenVPN berbicara protokolnya sendiri di atas TLS atau melalui aliran UDP mentah. Mengarahkan satu klien ke port yang lain menghasilkan koneksi yang tidak pernah mencapai prompt login. Pilihannya menyangkut klien dan transport apa yang dapat Anda dukung, bukan soal nomornya.

Port bersama tidak membuat protokol bersama

Handshake TLS bisa selesai dan tetap tidak membawa ke mana pun, karena setelah itu klien dan server tidak sepakat soal apa yang harus dikatakan berikutnya. Dalam tangkapan paket, Anda melihat handshake bersih diikuti data aplikasi yang ditolak atau diabaikan oleh pihak lain. Pola itu adalah tanda ketidakcocokan protokol, bukan blokir firewall.

Baik profil yang diganti nama maupun entri menu yang berbeda tidak mengubah yang satu menjadi yang lain. Koneksi SSTP dibuat dari pengaturan VPN Windows dengan alamat server dan detail autentikasi dari operator, sedangkan koneksi OpenVPN membutuhkan klien dan berkas konfigurasi yang cocok. Spesifikasi SSTP dari Microsoft menjelaskan yang pertama, dan tidak menjelaskan handshake OpenVPN.

Port 443 adalah kemudahan kebijakan. Ia melewati jaringan yang hanya mengizinkan sedikit hal lain, dan itu keuntungan nyata, tetapi tidak memberi tahu apa pun tentang protokol yang berjalan di belakangnya.

SSTP menyalurkan PPP di dalam HTTPS

Namanya menjelaskan konstruksinya: frame PPP yang dibawa di dalam sesi HTTPS, yang berarti TLS di bawahnya dan sertifikat yang dapat diperiksa klien. Windows menyertakan ini sebagai tipe VPN bawaan, sehingga laptop terkelola sering dapat terhubung tanpa perangkat lunak tambahan selain profil yang diberikan operator.

Platform lain adalah cerita berbeda. Klien Linux atau macOS memerlukan implementasi yang dipelihara, dan semuanya berbeda dalam apa yang didukung dan bagaimana mereka melaporkan galat. Periksa klien yang benar-benar ingin Anda pakai alih-alih menganggap kemampuan bawaan Windows ikut berpindah, dan pastikan nama server dalam profil cocok dengan sertifikat yang disajikan server.

SSTP biasanya hanya TCP. Transport tunggal itu memengaruhi perilakunya pada tautan yang banyak kehilangan paket, karena pengiriman ulang terjadi di dalam terowongan sekaligus di bawahnya.

OpenVPN membawa kliennya sendiri dan pilihan transport

OpenVPN menyediakan klien dan profilnya sendiri, yang memberi Anda diagnostik yang tidak ditampilkan dialog bawaan Windows. Server dapat mendengarkan pada UDP atau TCP, dan konfigurasi operator menentukan mana yang harus dipakai klien Anda. Profil yang diarahkan ke transport keliru gagal sebelum autentikasi.

Autentikasi sama-sama digerakkan konfigurasi. Suatu penerapan bisa mewajibkan sertifikat saja, sertifikat ditambah nama pengguna dan kata sandi, atau faktor kedua di atasnya, dan klien harus cocok persis dengan susunan itu. Kenyataan bahwa koneksi mencapai tahap TLS tidak memberi tahu kredensial apa yang akan dimintanya berikutnya.

UDP adalah default yang lazim karena menghindari penyusunan aliran andal di dalam aliran andal lain. Mode TCP ada untuk jaringan yang memblokir UDP, dan ia bekerja, tetapi kehilangan paket yang berat bisa membuatnya terasa lebih buruk daripada jalur UDP yang digantikannya. Pilih TCP bila harus, bukan karena terdengar lebih andal.

Pilih berdasarkan klien, transport, dan dukungan

Tiga pertanyaan menyelesaikan sebagian besar keputusan ini. Apakah setiap perangkat klien memerlukan koneksi yang bekerja tanpa perangkat lunak tambahan? Apakah jaringan yang Anda andalkan mengizinkan UDP, atau TCP 443 satu-satunya jalan keluar? Dan siapa yang mendukung klien, pembaruannya, dan pemulihannya saat profil kedaluwarsa?

Saat membandingkan keduanya, ujilah pada perangkat yang sama dan jaringan akses yang sama. Jika endpoint SSTP dan endpoint OpenVPN adalah server berbeda atau lokasi berbeda, hasil Anda mencakup rute dan mesin tersebut alih-alih mengisolasi protokolnya. Itulah cara paling umum perbandingan seperti ini menghasilkan jawaban yang yakin tetapi salah.

Lalu pastikan mana yang benar-benar Anda bangun sebelum men-debug hal lain:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Apa pun caranya, akhiri dengan menguji sumber daya dan DNS yang Anda butuhkan alih-alih menyatakan sukses pada status terowongan. Kedua protokol dapat dikonfigurasi untuk hanya membawa lalu lintas privat terpilih, dan terowongan tersambung tanpa resolusi nama yang berfungsi tampak seperti VPN rusak padahal sebenarnya desain split-tunnel atau DNS.

Di armada terkelola, distribusi profil dan dukungan pembaruan biasanya memutuskan pertanyaan itu jauh sebelum tolok ukur transport apa pun.