OpenVPN თუ IKEv2: ოთხი შემოწმება პროტოკოლის არჩევამდე

OpenVPN-სა და IKEv2-ს შორის არჩევანს ჩვეულებრივ პროტოკოლის საკითხად განიხილავენ და ასეთი ჩარჩო გადაწყვეტილებას ფლანგავს. გადაწყვეტს ის, უჭერენ თუ არა მხარს თქვენი სერვერი და მოწყობილობები ერთსა და იმავე სრულ პროფილს და გადაურჩება თუ არა ეს პროფილი ქსელებს შორის თქვენს გადაადგილებას. ორი სტეკი ერთმანეთში არ ითარგმნება: OVPN ფაილი არ არის IKEv2 პროფილი სხვა სინტაქსით. თანმიმდევრულად შესრულებული ოთხი შემოწმება კითხვას უფრო სწრაფად პასუხობს, ვიდრე ნებისმიერი ფუნქციების ცხრილი.

დაკარგული კლიენტი დისკუსიას ამთავრებს

Windows და macOS IKEv2 კლიენტს მოიცავს, ამიტომ IKEv2 პროფილის იქ განლაგება დამატებით ხარჯს არ მოითხოვს და მემკვიდრეობით იღებს ოპერაციული სისტემის მიერ უკვე შემოთავაზებულ უზრუნველყოფის პარამეტრებს. იმავე მანქანებზე OpenVPN ნიშნავს მესამე მხარის კლიენტს, რომელიც უნდა დაყენდეს, განახლდეს და შენარჩუნდეს, და ამ კლიენტმა უნდა მიიღოს პროფილის მიერ გამოყენებული ყოველი პარამეტრი. დათვალეთ ის პლატფორმები, რომლებიც უნდა დაფაროთ, სანამ რაიმე სხვას შეადარებთ, რადგან სამუშაო კლიენტის გარეშე პლატფორმა შედარების წერტილი საერთოდ არ არის.

Windows-ზე ერთი ბრძანება ჩამოთვლის უკვე არსებულ პროფილებს და აჩვენებს, რა ტიპისაა თითოეული. სახელი, რომელსაც ის ბეჭდავს, არის სახელი, რომელსაც შემდგომი შემოწმებები იყენებენ.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

კლიენტის დაყენების მოთხოვნა ამ პლატფორმებზე OpenVPN-ის სვეტის ნამდვილი პასუხია და ეს განლაგების ამოცანაა და არა პროტოკოლის შეზღუდვა. არც ერთი მოწყობა არ აუქმებს ნდობის შემოწმებებს, იდენტობის დადასტურებას ან მოვლას. სანამ ვალდებულებას აიღებთ, ჰკითხეთ, როგორ ნაწილდება პროფილები, როგორ განახლდება რწმუნებები და როგორ იშლება დაკარგული მოწყობილობა. მარტივი ინსტალაცია მაინც შეიძლება მალავდეს აღდგენის პროცედურას, რომლის გაშვებაც შაბათ-კვირას არავის სურს.

მობილობა ერთობლივი პარამეტრია და არა პროტოკოლის დაპირება

IKEv2-ს შეუძლია MOBIKE-ის გამოყენება, როცა ორივე მხარე მას უჭერს მხარს და რთავს, რაც კლიენტს საშუალებას აძლევს შეინარჩუნოს გვირაბი მისი მისამართის შეცვლის დროს. RFC 4555 განსაზღვრავს ამ გაფართოებას და პირობით ფორმულირებას მნიშვნელობა აქვს: სერვერი, რომელიც ამ შესაძლებლობას უგულებელყოფს, ნაცვლად ამისა ხელახლა მოლაპარაკდება. შედეგი შეიძლება ერთნაირად გამოიყურებოდეს ფაილის გადაცემისთვის და ძალიან განსხვავებულად პირდაპირი ზარისთვის.

შეამოწმეთ ის გადასვლა, რომელიც ნამდვილად გაინტერესებთ, რაღაც მოქმედი საშუალებით, რომელსაც დააკვირდებით. Windows-ზე გააგრძელეთ ping -t <internal-host> მუშაობა, სხვაგან კი უბრალო ping, შემდეგ გადადით Wi-Fi-დან მობილურ ქსელზე და დააკვირდით შეწყვეტებს. MOBIKE-ის წარუმატებლობა კლიენტის ჟურნალში სრულ ხელახალ ავთენტიფიკაციად ჩანს და არა მისამართის წყნარ განახლებად. თქვენ ზომავთ, გადაურჩება თუ არა გვირაბი ცვლილებას და არა იმას, აცხადებს თუ არა პროტოკოლი მხარდაჭერას.

OpenVPN კლიენტები ხელახლა უკავშირდებიან საკუთარი პლატფორმის ქცევისა და პროფილის ტაიმერების მიხედვით, ამიტომ იგივე ტესტმა შეიძლება შეწყვეტის სხვა ფორმა წარმოქმნას. შეადარეთ ის მოვლენა, რომელიც თქვენთვის მნიშვნელოვანია მომხმარებლებისთვის და არა პროტოკოლზე დაკრული იარლიყი.

რწმუნებები სერვისს ეკუთვნის და არა სტეკს

სერტიფიკატები და შესვლის სხვა მოწყობები იმ სერვისს ეკუთვნის, რომელიც კავშირს ამთავრებს. პაროლის მოთხოვნა ერთ კლიენტში არაფერს ამბობს სხვასთან თავსებადობაზე და პროფილი, რომელიც სხვა კარიბჭესთან მუშაობს, არაფერს ამბობს ამაზე. შეინარჩუნეთ სერვერის იდენტობის წესები უცვლელად, სანამ ორ სტეკს ადარებთ. პროტოკოლების შეცვლა მანამ, სანამ ხარვეზს დაადგენთ, ჩვეულებრივ მეორე შეუთავსებელ პროფილს ქმნის.

შეამოწმეთ ის რწმუნება, რომელსაც კლიენტი წარადგენს, სანამ რომელიმე პროტოკოლს დაადანაშაულებთ, რადგან ვადაგასული ან არასწორად გაცემული სერტიფიკატი ორივეზე ერთნაირად ვარდება. ქვემოთ მოცემული გამონატანი აჩვენებს სუბიექტს, გამომცემელს და მოქმედების თარიღებს პირადი გასაღების წაკითხვის გარეშე.

openssl x509 -in client.crt -noout -subject -issuer -dates

კორპორატიული კავშირისთვის გამოიყენეთ ის მეთოდი, რომელსაც კომპანია აქვეყნებს და შეწყვიტეთ შედარების ექსპერიმენტად განხილვა. თუ ორივეს თავად ადარებთ, ჯერ შეამოწმეთ, მთავრდება თუ არა ორივე ვარიანტი ერთ კარიბჭეზე, რადგან ეს ერთი დეტალი წყვეტს, თქვენი შედეგის რა ნაწილია პროტოკოლზე. უარი, რომელიც რწმუნებას ასახელებს, რწმუნების პრობლემაა და პროტოკოლის შეცვლის არც ერთი რაოდენობა არ გაასწორებს მას.

შეამოწმეთ, რას მარშრუტიზებს გვირაბი სინამდვილეში

დაკავშირების შემდეგ დაადასტურეთ, რომ საჭირო მარშრუტი არსებობს და სახელები იხსნება. შიდა რესურსებისთვის არსებულმა პროფილმა შეიძლება განზრახ დატოვოს ჩვეულებრივი დათვალიერება ლოკალურ გზაზე და ეს პოლიტიკის გადაწყვეტილებაა და არა ხარვეზი. მთავარია, მისადგომია თუ არა გვირაბის გავლით ის დანიშნულებები, რომლებსაც თქვენი გუნდი იყენებს.

Windows-ზე ორი ბრძანება ფარავს მარშრუტს და სახელის ძიებას. Linux-ში ეკვივალენტებია ip route show default და resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

გვირაბი, რომელიც ადის და არაფერ სასარგებლოს არ მარშრუტიზებს, ჩვეულებრივი შედეგია, როცა პროფილი სერვისებს შორის დაკოპირდა, და ზოგადი კავშირის ტესტი ამას არ აჩვენებს, რადგან ინტერფეისი აწეულია. შეამოწმეთ ის რესურსი, რომელსაც თქვენი მომხმარებლები პირველად ხსნიან და არა საჯარო მისამართი, რომელსაც ნებისმიერი გზა აღწევს. თუ სახელი საჯარო მისამართზე იხსნება, მაშინ როცა მარშრუტი გვირაბის შიგნით მიუთითებს, DNS-ის პასუხი და მარშრუტი სხვადასხვა გადაწყვეტილებას ეკუთვნის და ორივე უნდა გასწორდეს.

შემოწმებების შემდეგ აწონეთ მოვლა

აბსტრაქტული გაგებით არც ერთი პროტოკოლი არ არის უფრო ადვილად მოსავლელი. მოვლა დამოკიდებულია იმაზე, ვინ მართავს კარიბჭეს, როგორ აღწევს პროფილი მოწყობილობებამდე და რამდენად სწრაფად კარგავს წვდომას დაკარგული მოწყობილობა. მარტივი საბოლოო კლიენტი შეიძლება იდგეს უფრო რთულად სამართავი სერვერის წინ და პირიქითაც ხდება. ჰკითხეთ, რომელი მათგანი შეუძლია თქვენს გუნდს განაგრძოს მუშაობა მას შემდეგ, რაც მისი ამშენებელი წავა.

აირჩიეთ ის მხარდაჭერილი კავშირი, რომელიც სამუშაოს ფარავს, შემდეგ შეამოწმეთ ის წვდომაზე, რომელიც ნამდვილად გჭირდებათ და არა ფუნქციების სიაზე. ჩაწერეთ, რომელ კარიბჭეზე მთავრდება თითოეული ვარიანტი, რადგან ორი განსხვავებული კარიბჭე შედარებას პროტოკოლებზე ისე, როგორც მარშრუტებზე, აქცევს. გაიმეორეთ ოთხი შემოწმება იმ მოწყობილობაზე, რომელსაც ნამდვილად წაიღებთ და შეინარჩუნეთ ის პროფილი, რომელიც მასზე გადის.