SSTP á móti OpenVPN: sama gátt 443, aðrar samskiptareglur

Báðir valkostir geta staðið bak við TCP 443, svo fólk gerir ráð fyrir að þeir séu skiptanlegir endapunktar. Þeir eru það ekki: SSTP þjónn talar PPP innan HTTPS, á meðan OpenVPN þjónn talar sínum eigin samskiptareglum yfir TLS eða í gegnum hráan UDP straum. Að beina einum biðlara að gátt hins gefur tengingu sem nær aldrei að innskráningarbeiðni. Valið snýst um hvaða biðlara og flutning þú getur stutt, ekki um númerið.

Sameiginleg gátt gerir ekki sameiginlegar samskiptareglur

TLS handabandið getur klárast og samt leitt hvergi, því eftir það eru biðlarinn og þjónninn ekki sammála um hvað eigi að segja næst. Í pakkaskráningu sérðu hreint handaband sem fylgt er eftir af forritsgögnum sem mótaðilinn hafnar eða hunsar. Þetta mynstur er einkenni samskiptareglnaósamræmis, ekki blokkunar frá eldvegg.

Hvorki endurnefnt snið né önnur valmyndarfærsla breytir öðru í hitt. SSTP tenging er búin til í VPN stillingum Windows með þjónnslóð og auðkenningargögnum rekstraraðilans, á meðan OpenVPN tenging þarf biðlarann og samsvarandi stillingarskrá. SSTP forskrift Microsoft lýsir því fyrra og lýsir ekki OpenVPN handabandi.

Gátt 443 er þægindi stefnu. Hún fer í gegnum net sem leyfa lítið annað, og það er raunverulegur kostur, en hún segir ekkert um hvaða samskiptareglur keyra bak við hana.

SSTP túnelar PPP innan HTTPS

Nafnið lýsir byggingunni: PPP rammar fluttir innan HTTPS setu, sem þýðir TLS undir og skírteini sem biðlarinn getur athugað. Windows inniheldur þetta sem innfædda VPN tegund, svo stýrður fartölva getur oft tengst án viðbótarhugbúnaðar fyrir utan sniðið sem rekstraraðilinn útvegar.

Aðrir vettvangar eru önnur saga. Linux eða macOS biðlari þarf viðhaldið útfærslu, og þær eru mismunandi í því hvað þær styðja og hvernig þær tilkynna villur. Athugaðu biðlarann sem þú ætlar í raun að nota í stað þess að gera ráð fyrir að innbyggð geta Windows flytjist yfir, og staðfestu að þjónnafnið í sniðinu passi við skírteinið sem þjónninn leggur fram.

SSTP er venjulega aðeins TCP. Sá eini flutningur hefur áhrif á hvernig það hagar sér á tengingu með tapi, því endursending fer fram bæði innan túnelsins og undir því.

OpenVPN kemur með sinn eigin biðlara og val á flutningi

OpenVPN útvegar sinn eigin biðlara og snið, sem gefur þér greiningu sem innfæddur Windows gluggi sýnir ekki. Þjónninn getur hlustað á UDP eða TCP, og stilling rekstraraðilans ræður hvorum biðlarinn þinn verður að nota. Snið sem beint er að röngum flutningi mistekst fyrir auðkenningu.

Auðkenning er jafn háð stillingu. Uppsetning getur krafist aðeins skírteina, skírteina auk notandanafns og lykilorðs, eða annars þáttar ofan á, og biðlarinn verður að passa nákvæmlega við það fyrirkomulag. Það að tenging nái TLS stigi segir ekki hvaða skilríki hún biður um næst.

UDP er venjulegt sjálfgefið gildi því það forðast að hreiðra áreiðanlegan straum inni í öðrum áreiðanlegum straumi. TCP hamur er til fyrir net sem loka á UDP, og hann virkar, en mikið tap getur látið hann líða verr en UDP slóðin sem hann kom í staðinn fyrir. Veldu TCP þegar þú verður, ekki af því að það hljómar áreiðanlegra.

Veldu eftir biðlara, flutningi og stuðningi

Þrjár spurningar leysa flest þessara ákvarðana. Þarf hvert biðlartæki tengingu sem virkar án viðbótarhugbúnaðar? Leyfir netið sem þú treystir á UDP, eða er TCP 443 eina útgangan? Og hver styður biðlarann, uppfærslur hans og endurheimt hans þegar snið rennur út?

Þegar þú berð saman þá tvo skaltu prófa á sama tæki og sama aðgangsneti. Ef SSTP endapunkturinn og OpenVPN endapunkturinn eru mismunandi þjónar eða mismunandi staðir, inniheldur niðurstaðan þín þessar slóðir og vélar í stað þess að einangra samskiptareglurnar. Þetta er algengasta leiðin sem slíkar samanburðir gefa sjálfsöruggt en rangt svar.

Staðfestu svo hvora þú stofnaðir í raun áður en þú greinir eitthvað annað:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Hvort sem er, endaðu á að prófa auðlindina og DNS sem þú þarft í stað þess að tilkynna árangur á stöðu túnelsins. Hægt er að stilla báðar samskiptareglurnar til að flytja aðeins valda einkaaðgang, og tengdur túnel án virkrar nafnupplausnar lítur út eins og biluð VPN þegar hann er í raun split-tunnel eða DNS hönnun.

Í stýrðum flota ráða sniðadreifing og uppfærslustuðningur spurningunni yfirleitt löngu fyrir hvaða flutningsmælingu sem er.