OpenVPN Access Server жана Community: чындыгында эмне көчүрүлөт

Профилдер көчөт; колдонуучулардын тизмелери артта калат. Access Server менен Community Edition ортосунда которулган топ бул ажырымга өтүү башталгандан бир саат өткөндө туш болот: анын биринчи кардары аутентификациядан өтөт, анан анын топтук саясаты, колдонуучуга арналган маршруту жана өзүн-өзү тейлеген сырсөз калыбына келтирүүсү жок болот. Эки продукт тең бир протоколдо сүйлөшөт жана бир кардарды кабыл алышат, пландоо учурунда ажырымдын көрүнбөй калышынын себеби да ушунда. Сиз чындыгында башкаруу катмарын жана ага ээ болгон адамдарды тандап жатасыз.

Чечимди функциялар таблицасы эмес, инвентаризация суроосу катары караңыз. Ким колдонуучуларды түзөт, ким сертификаттарды жокко чыгарат жана 02:00дө ким чалууга жооп берет деп сураңыз.

Эмне үчүн .ovpn файлы конфигурацияны алып жүрбөйт

.ovpn профили бир кардардын бир сервер менен мамилесин сүрөттөйт: алыскы хост, протокол, CA, кардар сертификаты жана ачкычы, жана каалаган инлайн tls-crypt материалы. Ошол файлды жаңы курулушка таштаңыз, кардар баары бир кол кармашууну аяктайт, ошондуктан көчүрүү бүткөндөй көрүнөт. Анда колдонуучулар, алардын топтору, статикалык маршруттары же кимге кошулууга уруксат берилгенин чечкен саясат тизмеленбеген. Бул жазуулар сервердин өзүнүн кампасында жашайт, ал эми эки продукт аларды ар кандай формада сактайт.

Community Editionде эквиваленттер — өзүңүз кармаган файлдар: ар бир кардар үчүн ifconfig-push жана iroute сыяктуу параметрлери бар client-config-dir жазуулары, жокко чыгаруулар үчүн CRL жана tls-crypt ачкычы. Access Server ошол эле түшүнүктөрдү өз маалымат базасында сактайт жана аларды веб-консоль жана sacli буйрук сабынын куралы аркылуу көрсөтөт. Түшүнүктөр бири-бирине дал келет; артефактылар такыр көчпөйт.

Профилдер ошондой эле өзгөрмөйүнчө эч ким байкабаган жүрүм-турумду жашыруун киргизет. redirect-gateway def1 бар кардар бардык серептөөнү сервер аркылуу жөнөтөт; аны ошол сап жок курулушка көчүрсөңүз, интернет бузулду деген даттануу болот. CA дал келбестиги же туура эмес remote-cert-tls жөндөөмү катуу үн менен ишке ашпайт, бул жакшы натыйжа. Жок tls-crypt ачкычы унчукпай таймаут катары ишке ашпайт, бул жакшы эмес.

Башкаруу катмары эмнени ээлейт

Протокол эмес нерсени санаңыз: аккаунт түзүү, сырсөздү калыбына келтирүү, топко дайындоо, MFAга каттоо, кошулуу укуктары жана ким качан кошулганына жооп берген аудит изи. Community Edition булардын эч бирин түздөн-түз бербейт. Сиз аутентификация бэкендин тандайсыз, PAM, LDAP же RADIUSту плагин же auth-user-pass-verify аркылуу туташтырасыз, калганын өзүңүз кармайсыз. Access Server колдонуучу порталын, администрациялык консолду жана кеңири таралган идентификация провайдерлери менен интеграцияларды жеткирет. Эки курулуш тең демейкиде коопсуз эмес, анткени саясатты дагы эле тармакты билген адам жазышы керек.

Укуктар — эң курч операциялык айырма. Access Server бир убактагы кошулуулардын саны боюнча лицензияланат жана бул санды программалык түрдө аткарат. Community Editionде глобалдык чектөө — бир max-clients сабы, ал эми колдонуучу же топ боюнча ар кандай нерсе көбүрөөк client-config-dir ишин жана өзүңүздүн аткарууңузду билдирет. Бул тейлөөгө кызыкпаган топ коммерциялык продуктка акча төлөгөндө так ушундай нерсени сатып алат.

Лицензиялоо жана колдоо: эч ким бюджетке салбаган сап

Community Edition акысыз жана ачык булактуу. Access Server коммерциялык, анын акысыз деңгээли тарыхый түрдө бир аз сандагы бир убактагы кошулууларды камтыган, андан жогору акы төлөнүүчү лицензия. Эски форум жообунда келтирилген каалаган сан азыр эскирген, ошондуктан долбоордун баасын эсептөөдөн мурун жеткирүүчүнүн учурдагы шарттарын текшериңиз. Адилет салыштыруу коомчулук тарапта колдонуучуларды башкарууну, MFAны жана мониторингди курууга кеткен сааттарды коммерциялык тараптын лицензия сабына кошот.

Колдоо ээлиги да ошол эле бөлүштүрүүгө баш ийет. Community Edition менен сиз ар бир кызык кардар жана ар бир өзөк жаңыртуусу үчүн эскалация жолусуз. Access Server менен чалууга боло турган жеткирүүчү бар, жана өзгөртүү терезеңизге туура келсин-келбесин анын чыгарылыш ритмин мураска аласыз.

Өтүүдөн мурун жүргүзүлүүчү текшерүүлөр

Каалаган багытта өтүүдөн мурун иштеп жаткан сервер чындыгында эмнени сактаарын инвентаризациялаңыз. Access Server тарапта колдонуучулардын тизмесин жана топтук дайындоолорду экспорттоп, кайсы аккаунттар MFAга таянарын белгилеңиз. Community Edition тарапта берилген сертификаттарды, CRLди жана client-config-dir астындагы ар бир файлды тизмелеңиз. Эки тизмени сап боюнча салыштырыңыз, анткени алардын ортосундагы айырма — көчүрүү иши.

Эски кызмат дагы иштеп турганда өкүл кардарларды сынаңыз. openvpn --config client.ovpn --verb 4 алдыңкы планда кол кармашууну, жиберилген маршруттарды жана DNS параметрлерин басып чыгарат, ал эми openssl x509 -in client.crt -noout -subject -enddate кардар чындыгында кайсы сертификатты сунуштаарын көрсөтөт. Кошулган, бирок ички хостко жете албаган кардарда аутентификация ишке ашпастыгы эмес, маршрут же iroute ажырымы бар.

Эски калыбына келтирүү жолун алмаштыруучу ийгиликтүү сынак менен катар баш тартылган кирүү сынагынан да өткөнчө тирүү кармаңыз. Акыркы картаны бир баракка жазыңыз: ар бир талап, аны бүгүн канааттандырган артефакт жана кийин канааттандыра турган артефакт.