私たちは OpenVPN を使っています：プロトコル、エンジン、アプリのどれか？代わりに何を聞くべきか

「私たちは OpenVPN を使っています」という一文は、チケット、購買申請書、新入社員向けの文書に現れ、そのどれでも別の問いに答えています。 あるときは通信プロトコルを指し、あるときはゲートウェイ上のソフトウェアを指し、またあるときは新入社員が導入すべきアプリを指します。 この三つの事実はそれぞれ異なる次の一手につながり、どれを指すのかを尋ねるほうが推測より短時間で済みます。 調査の残りはその答えから導かれます。

ブランドが三つすべてを覆っているので、まず役割をブランドから切り分けてください。

この名前は、違う形で失敗する三つの役割を覆っている

プロトコルとしては、OpenVPN は互換性のある相手がどのようにトンネルを確立し、そこを通るものを守るかを記述します。 ソフトウェアとしては、そのプロトコルをクライアント役またはサーバー役で話す実装です。 クライアントとしては、誰かが導入するアプリケーションであり、独自のバージョン、プロファイル形式、プラットフォーム固有の癖を持ちます。 ある役割の故障は別の役割の故障を意味しないので、「OpenVPN が落ちている」には主語が要ります。

報告した人が何を見られるかを尋ねてください：プロファイルファイル、導入済みのプログラム、あるいはその人が管理するゲートウェイです。 その一つの細部が、次の一手がクライアントのログなのか、パッケージについての質問なのか、サーバー側の待ち受けの確認なのかを教えてくれます。

OpenVPN 2 と OpenVPN 3 はアップグレードの組ではありません

OpenVPN 2.x はサーバー役とクライアント役の両方で動作し、ほとんどのゲートウェイ配備が今もこれを使っています。 OpenVPN 3 はクライアント向けの別個の実装で、独自の設定とセッションモデルを持ち、2.x サーバーの上に導入する次の版ではありません。 OpenVPN Connect は OpenVPN 3 エンジンの上に作られたクライアントアプリケーションです。 どれを導入してもインターネット出口のサービスができるわけではなく、出口は運用者が設定したものです。

プロトコル水準の互換性はプロファイルのディレクティブには及ばないため、きれいに読み込めるプロファイルでも、クライアントが実装していないディレクティブで失敗することがあります。

トランスポートはその中のアプリケーションではありません

外側の接続は UDP や TCP といったトランスポートを使って設定済みの待ち受けに到達し、トンネルが運ぶものはすべてその内側を通ります。 VPN を通じて行うウェブ要求には独自の OpenVPN 待ち受けは不要で、回線上で OpenVPN パケットになるわけでもありません。 TLS モードでは制御チャネルが鍵素材を交渉し、データチャネルがペイロードを保護するので、ログを読むときにはこの分離を正しく保つ価値があります。

層を混同すると、すでにトンネル経由で動いているウェブサイトのためにポートを開けるといった要求が生まれます。 ポートは外側の接続に属し、アプリケーションには属しません。

プロファイルが約束できることと、できないこと

プロファイルは一つのクライアントに一つのサービスへの到達方法を伝えます：端点、トランスポート、身元の素材、そして多くの場合いくつかのルーティングと DNS の設定です。 そのサービスを誰が運用しているか、アカウントが許可されているかについては何も述べません。 経路、リゾルバーの設定、転送の規則、アクセス方針が、セッションが実際にどこへ届くかを決めます。 正しく読み込めるプロファイルは、機能する接続の始まりであって、その証拠ではありません。

あるリソースが VPN 経由で届くかどうかを尋ねられたとき、答えはクライアントの設定ファイルではなくサーバーの方針で決まります。

用意できるものを求める

広い名前を三つの具体に変えてください：クライアントとそのバージョン、そのクライアント向けに許可されたプロファイル、そしてその人が到達する必要のあるリソースです。 それがあれば、用意は具体的な作業になります。 それがなければ、どの答えも、問いがどの OpenVPN を指していたかの推測です。

答えは要求そのものに記録してください。 次のチケットも同じ曖昧な形で同じ問いを立てます。