SSTP және OpenVPN: бірдей 443 порты, басқа хаттама

Екі нұсқа да TCP 443 артында тұра алады, сондықтан адамдар оларды бір-біріне ауыстыруға болатын шеткі нүктелер деп ойлайды. Олай емес: SSTP сервері HTTPS ішінде PPP сөйлейді, ал OpenVPN сервері өз хаттамасын TLS үстінен немесе шикі UDP ағыны арқылы сөйлейді. Бір клиентті екіншісінің портына бағыттау ешқашан кіру экранына жетпейтін қосылым жасайды. Таңдау қандай клиент пен тасымалды қолдай алатыныңызға қатысты, нөмірге емес.

Ортақ порт ортақ хаттама жасамайды

TLS қол алысуы аяқталып, бәрібір еш жерге апармауы мүмкін, өйткені одан кейін клиент пен сервер әрі қарай не айту керектігі туралы келіспейді. Пакеттер жазбасында таза қол алысудан кейін қарсы тарап қабылдамайтын немесе елемейтін қосымша деректерін көресіз. Бұл үлгі хаттамалардың сәйкессіздігінің белгісі, өрт сөндіруші қабырғасының бөгеуі емес.

Не аты өзгертілген профиль, не басқа мәзір элементі бірін екіншісіне айналдырмайды. SSTP қосылымы Windows-тың VPN параметрлерінде сервер мекенжайымен және оператордың аутентификация деректерімен жасалады, ал OpenVPN қосылымына клиент пен сәйкес конфигурация файлы қажет. Microsoft-тың SSTP спецификациясы біріншісін сипаттайды және OpenVPN қол алысуын сипаттамайды.

443 порты — саясаттық ыңғайлылық. Ол өзгеше аз нәрсеге рұқсат беретін желілерден өтеді және бұл нақты артықшылық, бірақ оның артында қандай хаттама жұмыс істейтіні туралы ештеңе айтпайды.

SSTP PPP-ны HTTPS ішінде туннельдейді

Атауы құрылысты сипаттайды: HTTPS сессиясының ішінде тасымалданатын PPP кадрлары, яғни астында TLS және клиент тексере алатын сертификат. Windows мұны жергілікті VPN түрі ретінде қосады, сондықтан басқарылатын ноутбук көбінесе оператор берген профильден өзге қосымша бағдарламасыз қосыла алады.

Басқа платформалар — басқа әңгіме. Linux немесе macOS клиентіне қолдау көрсетілетін іске асыру қажет, ал олар нені қолдайтыны және қателерді қалай хабарлайтыны бойынша ерекшеленеді. Шынында пайдалануды жоспарлаған клиентті тексеріңіз, Windows-тың кірістірілген мүмкіндігі беріледі деп болжамаңыз және профильдегі сервер атауы сервер ұсынатын сертификатқа сәйкес келетінін растаңыз.

SSTP әдетте тек TCP. Сол бір тасымал оның жоғалтулары бар желіде қалай әрекет ететініне әсер етеді, өйткені қайта жіберу туннельдің ішінде де, астында да болады.

OpenVPN өз клиентін және тасымал таңдауын әкеледі

OpenVPN өз клиенті мен профилін жеткізеді, бұл сізге Windows-тың жергілікті диалогы көрсетпейтін диагностика береді. Сервер UDP немесе TCP-де тыңдай алады, ал қайсысын қолдану керектігін оператордың конфигурациясы шешеді. Дұрыс емес тасымалға бағытталған профиль аутентификациядан бұрын сәтсіз аяқталады.

Аутентификация да конфигурацияға тәуелді. Орналастыру тек сертификаттарды, сертификаттар мен пайдаланушы аты мен құпия сөзді немесе олардың үстінен екінші факторды талап етуі мүмкін, ал клиент сол тәртіпке дәл сәйкес келуі керек. Қосылымның TLS кезеңіне жетуі келесі қандай тіркелгі деректерін сұрайтынын айтпайды.

UDP әдеттегі әдепкі, өйткені сенімді ағынды басқа сенімді ағынның ішіне салудан аулақ болады. TCP режимі UDP-ны бөгейтін желілер үшін бар және жұмыс істейді, бірақ ауыр жоғалту оны ауыстырған UDP жолынан нашар сезіндіруі мүмкін. Қажет болғанда TCP таңдаңыз, сенімдірек естіледі деп емес.

Клиент, тасымал және қолдау бойынша таңдаңыз

Үш сұрақ осы шешімдердің көбін шешеді. Әр клиент құрылғысына қосымша бағдарламасыз жұмыс істейтін қосылым қажет пе? Сіз сүйенетін желі UDP-ға рұқсат бере ме, әлде TCP 443 жалғыз шығу жолы ма? Және профиль мерзімі біткенде клиентті, оның жаңартуларын және қалпына келтіруін кім қолдайды?

Екеуін салыстырғанда бір құрылғыда және бір кіру желісінде сынаңыз. Егер SSTP шеткі нүктесі мен OpenVPN шеткі нүктесі әртүрлі серверлер немесе әртүрлі орындар болса, нәтижеңіз хаттаманы оқшаулаудың орнына сол маршруттар мен машиналарды қамтиды. Бұл мұндай салыстырулардың сенімді, бірақ қате жауап беруінің ең көп таралған жолы.

Содан кейін басқа нәрсені жөндеу алдында қайсысын шынымен орнатқаныңызды растаңыз:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Қалай болса да, туннель күйінде сәттілік жариялаудың орнына қажет ресурс пен DNS-ті сынаумен аяқтаңыз. Екі хаттама да тек таңдалған жеке трафикті тасымалдауға конфигурациялануы мүмкін, ал атау шешімі жұмыс істемейтін қосылған туннель шын мәнінде бөлінген туннель немесе DNS дизайны болса да, бүлінген VPN сияқты көрінеді.

Басқарылатын паркте профильдерді тарату және жаңартуды қолдау бұл сұрақты кез келген тасымал өлшемінен әлдеқайда бұрын шешеді.