VPN in ingresso di Windows o host OpenVPN: scegli in cinque minuti

Windows può accettare una connessione VPN senza nulla installato oltre al sistema operativo, e questo aiuta davvero quando due macchine che possiedi hanno bisogno di un tunnel per un pomeriggio. Resta utile più o meno per quel tempo. Il listener integrato ha un menu di protocolli fisso, nessuna politica per client e una dipendenza da un desktop che qualcuno può chiudere. Scegliere tra esso, un endpoint sul router e un host OpenVPN si riduce a tre condizioni, non a una preferenza.

Che cos’è davvero il listener integrato

La procedura guidata per le connessioni in ingresso trasforma una workstation in un piccolo endpoint di accesso remoto. Scegli quali account locali possono chiamare, come vengono distribuiti gli indirizzi e quale protocollo è attivo: PPTP, più L2TP/IPsec o SSTP dove l’edizione e il lavoro sui certificati li supportano.

Quello che non è è uno strato di politiche. Non c’è assegnazione di route per utente, né tunnel diviso imposto dal server, né separazione tra il tunnel e l’identità di rete propria della workstation. Un client che si connette atterra sullo stesso segmento della workstation, sotto le regole del firewall di quel segmento.

È quest’ultimo punto da pesare. Le porte, le condivisioni e il browser della workstation sono ora raggiungibili da chiunque abbia l’account, e l’account è un account Windows locale con tutto il resto che già sa fare.

Tre condizioni che decidono

Chiediti quanto deve durare l’accesso, quante persone ne hanno bisogno e se la rete può persino consegnare il protocollo.

Se la risposta è una macchina, una persona e qualche ora su una rete in cui controlli il router, il listener integrato è proporzionato. Se l’accesso deve sopravvivere ai riavvii per un mese, servire cinque colleghi con credenziali separate o funzionare da una rete mobile che non può ricevere connessioni in ingresso, non lo è. Se il protocollo richiede il protocollo IP 47 invece di una porta, la rete può rifiutarsi di consegnarlo indipendentemente da ciò che Windows supporta.

Queste tre risposte eliminano la maggior parte della discussione in un solo passaggio. Il resto è dettaglio di implementazione.

Dove vince un endpoint sul router

Un tunnel che termina sul router è la scelta naturale per l’accesso permanente. Il router è già sempre acceso, può portare un tunnel da sito a sito verso un altro ufficio, e i client non hanno bisogno di nulla installato se il router offre il protocollo che usano.

Il limite è il firmware. I router consumer spesso supportano solo una parte di ciò che la specifica consente, e un modello che pubblicizza il supporto VPN può non includere esattamente quello che avevi previsto. Controlla l’elenco delle funzioni del firmware installato, non quello della famiglia di prodotti.

Dove vince un host OpenVPN

Un server OpenVPN su una piccola macchina sempre accesa si adatta a client eterogenei, a più utenti con credenziali separate e a reti in cui un solo porto adatto al traffico in uscita è la differenza tra funzionare ed essere bloccati. Emette un profilo per client, gira su tutte le piattaforme principali e, dal lato del client, si comporta come un’ordinaria applicazione in uscita.

Chiede anche un proprietario. Qualcuno deve rinnovare i certificati, applicare gli aggiornamenti dell’host e leggere il registro quando un client non riesce a connettersi. Senza quella persona, un endpoint auto-ospitato si degrada in silenzio fino al giorno in cui conta.

Verifica il percorso prima di promettere l’accesso

La ragione più comune per cui un listener di Windows fallisce non è l’autenticazione. È il percorso: PPTP richiede TCP 1723 in ingresso e GRE, che è il protocollo 47 e non una porta, e molti router inoltrano solo porte. Alcune reti di accesso non consentono affatto connessioni in ingresso. Questo unico fatto esclude il listener integrato su più reti di qualsiasi impostazione di Windows.

Prova il percorso prima di configurare gli account, così un fallimento ha un solo candidato invece di tre:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Una porta chiusa alla prima riga è un problema di inoltro o dell’operatore, non di Windows. La terza riga è il controllo che faresti dopo aver scelto OpenVPN, dove un solo porto UDP in ascolto sostituisce l’intera questione del protocollo.

Qualunque opzione scegli, non lasciare PPTP rivolto verso internet come soluzione a lungo termine; la sua autenticazione e la sua cifratura sono obsolete. E se il bisogno reale è una sola applicazione web, un proxy inverso è una risposta più piccola di qualsiasi VPN.