OpenVPN Access Server géint Community: wat wierklech migréiert

Profiler migréieren; Benotzerlëschte bleiwen hannen. En Team, deen tëscht Access Server an Community Edition wiesselt, begéint dës Lück eng Stonn nom Ëmstieg, wann säin éischte Client sech authentifizéiert an dann keng Gruppepolitik, keng Route pro Benotzer an keen Self-Service-Passwuert-Reset huet. Béid Produkter schwätzen dee selwechte Protokoll a akzeptéieren dee selwechte Client, an genau dofir bleift d'Lück beim Plangen onsichtbar. Wat Dir tatsächlech wielt, ass d'Verwaltungsschicht an d'Leit, déi se besëtzen.

Behandelt d'Entscheedung als Inventarsfro an net als Funktiounstabell. Frot, wien Benotzer uleeet, wien Zertifikater zréckzitt a wien um 02:00 den Telefon ophëlt.

Firwat d'.ovpn-Datei d'Astellung net matbréngt

En .ovpn-Profil beschreift d'Verhältnis vun engem Client zu engem Server: den entfernten Host, de Protokoll, d'CA, e Clientzertifikat an e Schlëssel, an all inline tls-crypt-Material. Werft dës Datei an e frische Build an de Client fäerdeg trotzdem en Handshake, sou datt d'Migratioun fäerdeg ausgesäit. Näischt dran zielt d'Benotzer, hir Gruppen, hir statesch Routen oder d'Politik op, déi entscheet huet, wiem et iwwerhaapt erlaabt war, sech ze verbannen. Dës Opzeechnunge liewen am eegene Späicher vum Server, an déi zwou Produkter späicheren se a verschiddene Formen.

An der Community Edition sinn d'Äquivalente Dateien, déi Dir selwer hält: client-config-dir-Anträg mat Optiounen pro Client wéi ifconfig-push an iroute, eng CRL fir Zréckzuch an de tls-crypt-Schlëssel. Access Server hält déi selwecht Konzepter an senger eegener Datebank a presentéiert se iwwer eng Webkonsole an den sacli-Kommandozeilen-Tool. D'Konzepter passen een zu engem; d'Artefakte réckele sech guer net.

Profiler schmuggelen och Verhalen era, dat keen bemierkt bis et sech ännert. E Client mat redirect-gateway def1 schéckt de ganze Surfen iwwer de Server; verréckelt en an e Build ouni dës Zeil an d'Beschwéier ass, datt den Internet futti ass. Eng CA-Diskrepanz oder eng falsch remote-cert-tls-Astellunge schléit haart fehl, wat dat gudde Resultat ass. E fehlende tls-crypt-Schlëssel schléit als stille Timeout fehl, wat et net ass.

Wat d'Verwaltungsschicht besëtzt

Zielt dat, wat net Protokoll ass: Konten uleeën, Passwuert-Reset, Gruppenzouweisung, MFA-Inschreiwung, Verbindungsberechtegungen an den Audit-Trail, dee beäntwert, wien wéini verbonnen huet. D'Community Edition bitt näischt dovu direkt. Dir wielt en Authentifizéierungs-Backend, verbënnt PAM, LDAP oder RADIUS iwwer e Plugin oder auth-user-pass-verify, an ënnerhält de Rescht selwer. Access Server liwwert e Benotzerportal, eng Administratiounskonsole an Integratioune mat üblechen Identitéitsprovider. Keng vun den zwou Arrangementer ass per Standard sécherer, well d'Politik ëmmer nach vun engem geschriwwe gëtt, deen den Netz kennt.

Berechtegungen sinn den schärfsten operationellen Ënnerscheed. Access Server gëtt no der Zuel vu gläichzäitege Verbindungen lizenzéiert an ëmsetzt dës Zuel a Software. An der Community Edition ass eng global Limite eng eenzeg max-clients-Zeil, wärend alles pro Benotzer oder pro Grupp méi client-config-dir-Aarbecht an Är eege Ëmsetzung bedeit. En Team ouni Loscht op dës Ënnerhalt keeft genau dat, wann et fir de kommerzielle Produkt bezilt.

Lizenzéierung a Support: d'Zeil, déi keen am Budget huet

D'Community Edition ass gratis an Open Source. Access Server ass kommerziell, an seng gratis Stuf huet historesch eng kleng Zuel gläichzäiteg Verbindungen ofgedeckt, mat enger bezuelter Lizenz driwwer. All Zuel aus enger aler Forumsäntwert ass haut veraltet, also préift d'aktuell Konditioune vum Verkeefer, ier Dir de Projet kalkuléiert. Den éierleche Verglach addéiert d'Stonnen, déi op der Communautéitssäit fir Benotzerverwaltung, MFA an Iwwerwaachung opbruecht ginn, op d'Lizenzzeil op der kommerzieller Säit.

D'Proprietéit vum Support follegt der selwechter Opdeelung. Mat der Community Edition sidd Dir den Eskalatiounswee fir all komesche Client an all Kernel-Update. Mam Access Server hutt Dir e Verkeefer, deen Dir ukënnt ruffen, an Dir ierft säi Verëffentlechungsrhythmus, ob et an Äert Ännerungsfënster passt oder net.

Prüfunge virum Ëmstieg

Maacht en Inventar vun deem, wat de lafende Server tatsächlech hält, ier Dir an eng Richtung wiesselt. Op der Access-Server-Säit exportéiert Dir d'Benotzerlëscht an d'Gruppenzouweisungen a notéiert, wéi eng Konten op MFA ugewisen sinn. Op der Community-Edition-Säit listet Dir déi ausgestallt Zertifikater, d'CRL an all Datei ënner client-config-dir op. Vergläicht déi zwou Lëschten Zeil fir Zeil, well den Ënnerscheed tëschent hinnen d'Migratiounsaarbecht ass.

Testet representativ Clients, wärend den ale Service nach leeft. openvpn --config client.ovpn --verb 4 am Virdergrond dréckt den Handshake, déi geschéckt Routen an d'DNS-Optiounen, an openssl x509 -in client.crt -noout -subject -enddate weist, wéi en Zertifikat de Client wierklech presentéiert. E Client, deen sech verbënnt awer keen internen Host erreecht, huet eng Route- oder iroute-Lück, keen Authentifizéierungsfehler.

Hält den ale Erhuelungswee lieweg, bis d'Ersatzléisung souwuel en Test mat verweigertem Zougang wéi och en erfollegräichen Test besteet. Schreift déi final Kaart op eng eenzeg Säit: all Ufuerderung, d'Artefakt, déi se haut erfëllt, an d'Artefakt, déi se duerno erfëlle wäert.