OpenVPN немесе IKEv2: протоколды таңдамас бұрын төрт тексеру

OpenVPN мен IKEv2 арасындағы таңдау әдетте протокол мәселесі ретінде талқыланады, ал мұндай қалып шешімді ысырап етеді. Шешімді серверіңіз бен құрылғыларыңыздың бірдей толық профильді қолдауы және бұл профильдің желілер арасындағы жүріс-тұрысыңызға төтеп беруі анықтайды. Екі стек бір-біріне айналмайды: OVPN файлы басқа синтаксисі бар IKEv2 профилі емес. Ретімен орындалған төрт тексеру сұраққа кез келген мүмкіндіктер кестесінен жылдам жауап береді.

Клиент жоқ болса, талқылау аяқталады

Windows пен macOS IKEv2 клиентін бірге әкеледі, сондықтан онда IKEv2 профилін орналастыру қосымша шығын талап етпейді және операциялық жүйе бұрын ұсынған дайындау параметрлерін мұра етеді. Сол машиналарда OpenVPN орнату, жаңарту және қолдау қажет үшінші тарап клиентін білдіреді, ал бұл клиент профиль пайдаланатын әрбір параметрді қабылдауы керек. Басқа нәрсені салыстырмас бұрын қамтуға тиіс платформаларды санаңыз, өйткені жұмыс істейтін клиенті жоқ платформа мүлде салыстыру нүктесі емес.

Windows-та бір команда бұрыннан бар профильдерді тізімдеп, әрқайсысының түрін көрсетеді. Ол басып шығаратын атау кейінгі тексерулер пайдаланатын атау болып табылады.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Клиентті орнату туралы сұраныс осы платформалардағы OpenVPN бағанының нақты жауабы, және бұл протокол шектеуі емес, орналастыру міндеті. Ешбір құрылым сенім тексерулерін, сәйкестендіруді растауды немесе қызмет көрсетуді жоймайды. Міндеттеме алмас бұрын профильдердің қалай таратылатынын, тіркелгі деректерінің қалай жаңартылатынын және жоғалған құрылғының қалай жойылатынын сұраңыз. Қарапайым орнату демалыс күндері ешкім іске қосқысы келмейтін қалпына келтіру рәсімін жасыруы мүмкін.

Ұтқырлық — ортақ параметр, протокол уәдесі емес

IKEv2 MOBIKE-ті екі жақ оны қолдап, қосқан кезде пайдалана алады, бұл клиентке мекенжайы өзгерген кезде туннелін сақтауға мүмкіндік береді. RFC 4555 бұл кеңейтуді анықтайды, ал шартты тұжырым маңызды: бұл мүмкіндікті елемейтін сервер оның орнына қайта келіссөз жүргізеді. Нәтиже файл жіберу үшін бірдей, ал тікелей қоңырау үшін мүлде басқа болып көрінуі мүмкін.

Шынымен қызықтыратын ауысуды бақылауға болатын жұмыс істеп тұрған нәрсемен сынаңыз. Windows-та ping -t <internal-host> жұмысын жалғастырыңыз, басқа жерде қарапайым ping пайдаланыңыз, содан кейін Wi-Fi-дан ұялы желіге ауысып, үзілістерді бақылаңыз. MOBIKE сәтсіздігі клиент журналында мекенжайдың тыныш жаңаруы емес, толық қайта аутентификация ретінде көрінеді. Сіз туннельдің өзгеріске төтеп беретінін өлшейсіз, протоколдың қолдауды жарнамалайтынын емес.

OpenVPN клиенттері өз платформаларының әрекеті мен профиль таймерлеріне сәйкес қайта қосылады, сондықтан бірдей тест үзілістің басқа пішінін тудыруы мүмкін. Протоколдағы жапсырманы емес, пайдаланушыларыңыз үшін маңызды оқиғаны салыстырыңыз.

Тіркелгі деректері қызметке тиесілі, стекке емес

Сертификаттар мен өзге кіру құрылымдары қосылымды аяқтайтын қызметке тиесілі. Бір клиенттегі құпиясөз сұранысы екіншісімен үйлесімділік туралы ештеңе айтпайды, ал басқа шлюзбен жұмыс істейтін профиль бұл туралы ештеңе айтпайды. Екі стекті салыстырғанда сервер сәйкестігі ережелерін өзгеріссіз ұстаңыз. Ақауды анықтамас бұрын протоколдарды ауыстыру әдетте екінші үйлесімсіз профиль тудырады.

Кез келген протоколды кінәламас бұрын клиент ұсынатын тіркелгі деректерін тексеріңіз, өйткені мерзімі өткен немесе қате берілген сертификат екеуінде де бірдей сәтсіздікке ұшырайды. Төмендегі шығыс жеке кілтті оқымай-ақ субъектіні, берушіні және жарамдылық күндерін көрсетеді.

openssl x509 -in client.crt -noout -subject -issuer -dates

Корпоративтік қосылым үшін компания жариялаған әдісті пайдаланыңыз және салыстыруды тәжірибе ретінде қарауды тоқтатыңыз. Егер екеуін өзіңіз салыстырсаңыз, әуелі екі нұсқаның да бір шлюзде аяқталатынын тексеріңіз, өйткені осы бір бөлшек нәтижеңіздің қанша бөлігі протокол туралы екенін шешеді. Тіркелгі деректерін атайтын бас тарту — тіркелгі деректерінің мәселесі, оны протоколды қанша ауыстырсаңыз да түзетпейді.

Туннельдің шын мәнінде нені маршруттайтынын тексеріңіз

Қосылғаннан кейін қажет маршруттың бар екенін және атаулардың шешілетінін растаңыз. Ішкі ресурстар үшін бар профиль қарапайым шолуды әдейі жергілікті жолда қалдыруы мүмкін, және бұл ақау емес, саясат шешімі. Командаңыз пайдаланатын мақсаттардың туннель арқылы қолжетімді болуы маңызды.

Windows-та екі команда маршрутты және атау іздеуді қамтиды. Linux-тегі баламалары — ip route show default және resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Көтерілетін, бірақ пайдалы ештеңені маршруттамайтын туннель профиль қызметтер арасында көшірілгенде жиі кездесетін нәтиже, ал жалпы байланыс тесті мұны көрсетпейді, өйткені интерфейс көтерілген. Пайдаланушыларыңыз бірінші ашатын ресурсты сынаңыз, кез келген жол жете алатын жалпыға ортақ мекенжайды емес. Егер атау жалпыға ортақ мекенжайға шешілсе, ал маршрут туннельдің ішіне сілтесе, DNS жауабы мен маршрут әртүрлі шешімдерге тиесілі және екеуін де түзету керек.

Тексерулерден кейін қызмет көрсетуді саралаңыз

Абстрактілі түрде ешбір протокол екіншісінен оңай күтім талап етпейді. Қызмет көрсету шлюзді кім басқаратынына, профильдердің құрылғыларға қалай жететініне және жоғалған құрылғының қолжетімділікті қаншалықты жылдам жоғалтатынына байланысты. Қарапайым соңғы клиент басқаруға күрделірек сервердің алдында тұруы мүмкін, керісінше де болады. Оны жасаған адам кеткеннен кейін командаңыз екеуінің қайсысын жалғастыра алатынын сұраңыз.

Жұмысты қамтитын қолдау көрсетілген қосылымды таңдаңыз, содан кейін оны мүмкіндіктер тізіміне емес, шынымен қажет қолжетімділікке қарсы сынаңыз. Әр нұсқаның қай шлюзде аяқталатынын жазып алыңыз, өйткені екі түрлі шлюз салыстыруды протоколдар туралы қаншалықты болса, соншалықты маршруттар туралы етеді. Төрт тексеруді шынымен алып жүретін құрылғыда қайталаңыз және одан өтетін профильді сақтаңыз.