OpenVPN eða IKEv2: fjórar prófanir áður en þú velur samskiptareglur

Valið milli OpenVPN og IKEv2 er venjulega rætt sem spurning um samskiptareglur, og slíkur rammi eyðir ákvörðuninni. Það sem ræður er hvort þjónninn þinn og tækin þín styðji sama heilda sniðið, og hvort það snið lifi þá leið sem þú ferð milli neta. Stakkarnir tveir þýðast ekki hvor í annan: OVPN skrá er ekki IKEv2 snið með annarri setningafræði. Fjórar prófanir, framkvæmdar í röð, svara spurningunni hraðar en hvaða eiginleikatafla sem er.

Biðlari sem vantar endar umræðuna

Windows og macOS koma með IKEv2 biðlara, svo IKEv2 snið kostar ekkert aukalega að setja upp þar og erfir þá uppsetningarmöguleika sem stýrikerfið býður þegar upp á. OpenVPN á sömu vélum þýðir biðlara frá þriðja aðila sem þarf að setja upp, uppfæra og styðja, og sá biðlari verður að samþykkja hvern þann valkost sem sniðið notar. Teldu kerfin sem þú verður að ná yfir áður en þú berð saman nokkuð annað, því kerfi án virkandi biðlara er alls ekki samanburðarpunktur.

Á Windows listar ein skipun sniðin sem þegar eru til og sýnir hvers konar hvert þeirra er. Nafnið sem hún prentar er nafnið sem síðari prófanir nota.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Skilaboð um að setja upp biðlara eru raunverulega svarið fyrir OpenVPN dálkinn á þessum kerfum, og það er uppsetningarverkefni en ekki takmörkun samskiptareglna. Hvort fyrirkomulag sem er fjarlægir ekki traustsprófanir, auðkenningu eða viðhald. Spyrðu hvernig sniðum er dreift, hvernig skilríkjum er endurnýjað og hvernig týndu tæki er fjarlægt áður en þú skuldbindur þig. Einföld uppsetning getur samt falið endurheimtunarferli sem enginn vill keyra um helgina.

Hreyfanleiki er sameiginleg stilling, ekki loforð samskiptareglna

IKEv2 getur notað MOBIKE þegar báðir endar styðja það og virkja, sem gerir biðlaranum kleift að halda göngunni á meðan heimilisfang hans breytist. RFC 4555 skilgreinir viðbótina, og skilyrta orðalagið skiptir máli: þjónn sem hunsar getuna semur aftur í staðinn. Niðurstaðan getur litið eins út fyrir skráaflutning og mjög öðruvísi fyrir símtal í beinni.

Prófaðu þau umskipti sem þér er raunverulega umhugað um, með einhverju í gangi sem þú getur fylgst með. Láttu ping -t <internal-host> ganga á Windows, eða venjulegt ping annars staðar, skiptu síðan úr Wi-Fi yfir í farsímanet og fylgstu með bilum. Bilun MOBIKE birtist sem full endurauðkenning í annál biðlarans frekar en hljóðlát uppfærsla heimilisfangs. Það sem þú mælir er hvort göngin þrauki breytinguna, ekki hvort samskiptareglurnar auglýsi stuðning.

OpenVPN biðlarar tengjast aftur eftir eigin hegðun kerfisins og tímateljurum sniðsins, svo sama prófun getur framkallað aðra mynd af truflun. Berðu saman atburðinn sem skiptir notendur þína máli frekar en merkið á samskiptareglunum.

Skilríki tilheyra þjónustunni, ekki stakkanum

Skírteini og aðrar innskráningaraðferðir tilheyra þeirri þjónustu sem endar tenginguna. Lykilorðsbeiðni í einum biðlara segir ekkert um samhæfni við annan, og snið sem virkar gegn öðru hliði segir ekkert um þetta hlið. Haltu reglum um auðkenni þjónsins óbreyttum á meðan þú berð saman stakkana tvo. Að skipta um samskiptareglur áður en þú hefur greint bilunina framleiðir venjulega annað ósamhæft snið.

Skoðaðu skilríkið sem biðlarinn mun leggja fram áður en þú kennir hvorri samskiptareglunum um, því útrunnið eða rangt útgefið skírteini bregst eins á báðum. Úttakið hér að neðan sýnir viðfang, útgefanda og gildisdagsetningar án þess að lesa einkalykilinn.

openssl x509 -in client.crt -noout -subject -issuer -dates

Fyrir fyrirtækjatengingu skaltu nota þá aðferð sem fyrirtækið birtir og hætta að líta á samanburðinn sem tilraun. Ef þú ert sjálfur að bera saman þessa tvo, athugaðu fyrst hvort báðir valkostir enda á sama hliði, því það eina atriði ræður því hve mikill hluti niðurstöðunnar snýst um samskiptareglurnar. Höfnun sem nefnir skilríkið er vandamál skilríkisins, og engin upphæð af skiptum á samskiptareglum lagar það.

Athugaðu hvað göngin beina í raun

Eftir að hafa tengst skaltu staðfesta að leiðin sem þú þarft sé til og að nöfn leysist. Snið sem er til fyrir innri auðlindir getur viljandi látið venjulega vafrun á staðbundinni leið, og það er stefnuákvörðun en ekki bilun. Það sem skiptir máli er hvort áfangastaðirnir sem teymið þitt notar séu aðgengilegir um göngin.

Tvær skipanir ná yfir leiðina og nafnaleitina á Windows. Jafngildin á Linux eru ip route show default og resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Göng sem rísa upp og beina engu gagnlegu eru algeng niðurstaða þegar sniði var afritað milli þjónusta, og almenn tengiprófun sýnir það ekki því viðmótið er uppi. Prófaðu auðlindina sem notendur þínir opna fyrst, ekki opinbert heimilisfang sem hvaða leið sem er nær til. Ef nafnið leysist í opinbert heimilisfang á meðan leiðin vísar inn í göngin, þá tilheyra DNS-svarið og leiðin mismunandi ákvörðunum og bæði þurfa lagfæringu.

Metið viðhald eftir prófanirnar

Hvorugt samskiptareglanna er viðhaldsvænna í óhlutbundnum skilningi. Viðhald fer eftir því hver rekur hliðið, hvernig snið berast til tækja og hve fljótt týnt tæki missir aðgang. Einfaldur endapunktabiðlari getur staðið framan við þjón sem er erfiðari í rekstri, og hið gagnstæða gerist líka. Spyrðu hvort teymið þitt geti haldið áfram að reka eftir að sá sem byggði það fer.

Veldu þá studdu tengingu sem nær yfir verkið, prófaðu hana síðan gegn aðganginum sem þú þarft í raun en ekki gegn eiginleikalista. Skráðu á hvaða hliði hver valkostur endar, því tvö mismunandi hlið gera samanburðinn að spurningu um leiðir jafnt sem um samskiptareglur. Endurtaktu fjórar prófanirnar á því tæki sem þú munt raunverulega bera, og haltu sniðinu sem stenst á því.