OpenVPN Access Server және Community: шын мәнінде не көшіріледі

Профильдер көшеді; пайдаланушы тізімдері артта қалады. Access Server мен Community Edition арасында ауысатын топ бұл алшақтыққа көшу басталғаннан бір сағат өткенде тап болады: оның бірінші клиенті аутентификациядан өтеді, содан кейін оның топтық саясаты, пайдаланушыға арналған маршруты және өзіне-өзі қызмет көрсететін құпиясөзді қалпына келтіруі жоқ. Екі өнім де бір протоколда сөйлейді және бір клиентті қабылдайды, жоспарлау кезінде алшақтықтың көрінбейтін болуының себебі де осы. Сіз шын мәнінде басқару қабатын және оған иелік ететін адамдарды таңдап отырсыз.

Шешімді мүмкіндіктер кестесі емес, түгендеу сұрағы ретінде қарастырыңыз. Пайдаланушыларды кім жасайды, сертификаттарды кім кері қайтарады және 02:00-де қоңырауға кім жауап береді деп сұраңыз.

Неге .ovpn файлы конфигурацияны тасымалдамайды

.ovpn профилі бір клиенттің бір сервермен қатынасын сипаттайды: қашықтағы хост, протокол, CA, клиент сертификаты мен кілті және кез келген кіріктірілген tls-crypt материалы. Сол файлды жаңа құрылымға тастаңыз, клиент бәрібір қол алысуды аяқтайды, сондықтан көшіру аяқталғандай көрінеді. Онда пайдаланушылар, олардың топтары, статикалық маршруттары немесе кімге қосылуға рұқсат етілгенін шешкен саясат тізілмеген. Бұл жазбалар сервердің өз қоймасында тұрады, ал екі өнім оларды әртүрлі пішінде сақтайды.

Community Edition-да баламалар — өзіңіз ұстайтын файлдар: әр клиент үшін ifconfig-push мен iroute сияқты параметрлері бар client-config-dir жазбалары, кері қайтарулар үшін CRL және tls-crypt кілті. Access Server сол ұғымдарды өз дерекқорында сақтайды және оларды веб-консоль мен sacli пәрмен жолы құралы арқылы ұсынады. Ұғымдар бір-біріне сәйкес келеді; артефактілер мүлде көшпейді.

Профильдер сонымен қатар өзгермейінше ешкім байқамайтын мінез-құлықты жасырын енгізеді. redirect-gateway def1 бар клиент барлық шолуды сервер арқылы жібереді; оны сол жолсыз құрылымға көшірсеңіз, шағым интернет бұзылды деген болады. CA сәйкессіздігі немесе дұрыс емес remote-cert-tls параметрі қатты дауыспен сәтсіз аяқталады, бұл жақсы нәтиже. Жоқ tls-crypt кілті үнсіз таймаут ретінде сәтсіз аяқталады, бұл жақсы емес.

Басқару қабаты нені иеленеді

Протокол емес нәрсені санаңыз: тіркелгі жасау, құпиясөзді қалпына келтіру, топқа тағайындау, MFA-ға тіркелу, қосылу құқықтары және кім қашан қосылғанына жауап беретін аудит ізі. Community Edition бұлардың ешқайсысын тікелей ұсынбайды. Сіз аутентификация бэкендін таңдайсыз, PAM, LDAP немесе RADIUS-ты плагин немесе auth-user-pass-verify арқылы қосасыз, қалғанын өзіңіз күтіп ұстайсыз. Access Server пайдаланушы порталын, әкімшілік консолін және кең таралған сәйкестендіру провайдерлерімен интеграцияларды жеткізеді. Екі құрылымның ешқайсысы әдепкіде қауіпсіз емес, өйткені саясатты желіні білетін адам жазуға тиіс.

Құқықтар — ең өткір операциялық айырмашылық. Access Server бір мезгілдегі қосылымдар саны бойынша лицензияланады және бұл санды бағдарламалық түрде орындатады. Community Edition-да жаһандық шектеу — бір max-clients жолы, ал пайдаланушы немесе топ бойынша кез келген нәрсе көбірек client-config-dir жұмысын және өз орындауыңызды білдіреді. Бұл күтімге құштарлығы жоқ топ коммерциялық өнімге ақша төлегенде дәл осыны сатып алады.

Лицензиялау және қолдау: ешкім бюджетке салмайтын жол

Community Edition тегін және ашық бастапқы кодты. Access Server коммерциялық, оның тегін деңгейі тарихи түрде бір мезгілдегі қосылымдардың аз санын қамтыды, одан жоғарысы ақылы лицензия. Ескі форум жауабында келтірілген кез келген сан қазір ескірген, сондықтан жобаның құнын есептемес бұрын жеткізушінің қолданыстағы шарттарын тексеріңіз. Адал салыстыру қауымдастық жағында пайдаланушыларды басқаруды, MFA мен мониторингті құруға жұмсалған сағаттарды коммерциялық жақтың лицензия жолына қосады.

Қолдау иелігі де сол бөлініске бағынады. Community Edition-мен сіз әрбір оғаш клиент пен әрбір ядро жаңартуы үшін эскалация жолысыз. Access Server-мен қоңырау шағуға болатын жеткізуші бар, және өзгеріс терезеңізге сәйкес келсін-келмесін оның шығарылым ырғағын мұралайсыз.

Көшу алдында жасалатын тексерулер

Кез келген бағытта көшуден бұрын жұмыс істеп тұрған сервердің шын мәнінде не сақтайтынын түгендеңіз. Access Server жағында пайдаланушы тізімі мен топ тағайындауларын экспорттап, қай тіркелгілер MFA-ға сүйенетінін белгілеңіз. Community Edition жағында берілген сертификаттарды, CRL-ді және client-config-dir астындағы әрбір файлды тізімдеңіз. Екі тізімді жол бойынша салыстырыңыз, өйткені олардың арасындағы айырмашылық — көшіру жұмысы.

Ескі қызмет әлі жұмыс істеп тұрғанда өкілді клиенттерді сынаңыз. openvpn --config client.ovpn --verb 4 алдыңғы планда қол алысуды, жіберілген маршруттарды және DNS параметрлерін басып шығарады, ал openssl x509 -in client.crt -noout -subject -enddate клиенттің шын мәнінде қай сертификатты ұсынатынын көрсетеді. Қосылатын, бірақ ішкі хостқа жете алмайтын клиентте аутентификация сәтсіздігі емес, маршрут немесе iroute алшақтығы бар.

Ескі қалпына келтіру жолын алмастырушы сәтті сынақпен қатар қабылданбаған қатынас сынағынан да өткенше тірі ұстаңыз. Соңғы картаны бір бетке жазыңыз: әрбір талап, оны бүгін қанағаттандыратын артефакт және кейін қанағаттандыратын артефакт.