OpenVPN Access Server eða Community: hvað flyst í raun

Snið flytjast; notendalistar verða eftir. Lið sem skiptir milli Access Server og Community Edition rekst á þetta bil klukkustund inn í umskiptin, þegar fyrsti biðlarinn þess auðkennir sig og hefur þá hvorki hópastefnu, né slóð fyrir hvern notanda, né sjálfsafgreiðslu á endurstillingu lykilorðs. Báðar vörurnar tala sömu samskiptareglur og taka við sama biðlara, og einmitt þess vegna er bilið ósýnilegt í skipulagningu. Það sem þú velur í raun er stjórnunarlagið og fólkið sem á það.

Líttu á ákvörðunina sem birgðaspurningu en ekki eiginleikatöflu. Spurðu hver stofnar notendur, hver afturkallar skírteini og hver svarar símanum klukkan 02:00.

Hvers vegna .ovpn skráin ber ekki uppsetninguna

.ovpn snið lýsir sambandi eins biðlara við einn netþjón: fjartölvunni, samskiptareglunum, CA, biðlara-skírteini og lykli, og hverju innfelldu tls-crypt efni. Setjið þá skrá í nýja uppsetningu og biðlarinn klárar samt handaband, svo flutningurinn virðist búinn. Ekkert í henni telur upp notendurna, hópana þeirra, kyrrstæðu slóðirnar eða stefnuna sem ákvað hverjum var yfirhöfuð leyft að tengjast. Þessar færslur lifa í eigin geymslu netþjónsins, og vörurnar tvær geyma þær í mismunandi myndum.

Í Community Edition eru hliðstæðurnar skrár sem þú heldur sjálfur: client-config-dir færslur með valkostum fyrir hvern biðlara eins og ifconfig-push og iroute, CRL fyrir afturkallanir og tls-crypt lykillinn. Access Server heldur sömu hugtökum í eigin gagnagrunni og birtir þau í gegnum vefstjórnborð og skipanalínutólið sacli. Hugtökin samsvara einu sér hvert; gripirnir flytjast alls ekki.

Snið smygla líka inn hegðun sem enginn tekur eftir fyrr en hún breytist. Biðlari með redirect-gateway def1 sendir alla vafrun í gegnum netþjóninn; færðu hann í uppsetningu án þeirrar línu og kvörtunin verður að netið hafi brotnað. CA-ósamræmi eða rangt remote-cert-tls stilling mistekst hátt, sem er góða útkoman. Skortur á tls-crypt lykli mistekst sem hljóðlaust tímamark, sem er það ekki.

Hvað stjórnunarlagið á

Teldu það sem er ekki samskiptareglur: stofnun reikninga, endurstilling lykilorða, hópaskipting, MFA-skráning, tengiréttindi og endurskoðunarferillinn sem svarar hver tengdist hvenær. Community Edition býður ekkert þess beint. Þú velur auðkenningarhluta, tengir PAM, LDAP eða RADIUS í gegnum viðbót eða auth-user-pass-verify, og heldur uppi restinni sjálfur. Access Server sendir notendagátt, stjórnborð og samþættingar við algenga auðkennisveitendur. Hvor tilhögunin er ekki öruggari sjálfgefið, því stefnan verður samt að vera skrifuð af einhverjum sem þekkir netið.

Rétindi eru skarpsi rekstrarlegi munurinn. Access Server er leyfisveitt eftir fjölda samtímis tenginga og framfylgir þeim fjölda í hugbúnaði. Í Community Edition er alþjóðleg hámörk ein max-clients lína, en hvað sem er á notanda eða hóp þýðir meiri client-config-dir vinnu og þína eigin framfylgd. Lið sem hefur ekki lyst á því viðhaldi kaupir einmitt það þegar það borgar fyrir verslunarvöruna.

Leyfisveiting og stuðningur: liðurinn sem enginn fjárhagsáætlar

Community Edition er ókeypis og opinn hugbúnaður. Access Server er verslunarvara, og ókeypis stig hennar hefur sögulega náð yfir lítinn fjölda samtímis tenginga með greiddu leyfi þar fyrir ofan. Sérhver tala sem vitnað er í í gömlu spjallborðssvari er úrelt núna, svo athugaðu gildandi skilmála söluaðilans áður en þú kostnaðarmetur verkefnið. Heiðarlegi samanburðurinn bætir klukkustundunum sem varið er í að byggja notendastjórnun, MFA og eftirlit á samfélagshliðinni við leyfislínuna á verslunarhliðinni.

Eignarhald stuðnings fylgir sömu skiptingu. Með Community Edition ert þú stigstígurinn fyrir hvern skrýtinn biðlara og hverja kjarnauppfærslu. Með Access Server hefurðu söluaðila til að hringja í, og þú erfir útgáfutaktinn hans, hvort sem hann hentar breytingaglugganum þínum eða ekki.

Athuganir fyrir umskiptin

Gerðu birgðaskrá yfir það sem keyrandi netþjónninn heldur í raun áður en skipt er í hvora áttina sem er. Á Access Server hliðinni skaltu flytja út notendalistann og hópaskiptingar og taka fram hvaða reikningar byggja á MFA. Á Community Edition hliðinni skaltu telja upp útgefin skírteini, CRL og hverja skrá undir client-config-dir. Berðu saman listana tvo línu fyrir línu, því munurinn á þeim er flutningsvinnan.

Prófaðu dæmigerða biðlara á meðan gamla þjónustan er enn í gangi. openvpn --config client.ovpn --verb 4 í forgrunni prentar handabandið, ýttu slóðirnar og DNS-valkostina, og openssl x509 -in client.crt -noout -subject -enddate sýnir hvaða skírteini biðlarinn leggur í raun fram. Biðlari sem tengist en nær ekki innri vél hefur bil í slóð eða iroute, ekki auðkenningarbilun.

Haltu gamla endurheimtarleiðinni lifandi þar til staðgengillinn stenst próf með synjaðri aðgangsheimild auk þess sem heppnast. Skrifaðu loka kortið á eina síðu: hver krafa, gripurinn sem uppfyllir hana í dag og gripurinn sem mun uppfylla hana síðar.