OpenVPN oder IKEv2: véier Kontrollen, ier dir e Protokoll auswielt

D'Wiel tëscht OpenVPN an IKEv2 gëtt meeschtens als Protokollsfro diskutéiert, an dëse Kader verschwënt d'Entscheedung. Wat entscheet, ass ob Äre Server an Är Apparater dee selwechte komplette Profil ënnerstëtzen, an ob dëse Profil d'Manéier iwwersteet, wéi Dir tëscht Netzwierker wechselt. Déi zwee Stäck iwwersetze sech net aneneen: eng OVPN-Datei ass keen IKEv2-Profil mat anerer Syntax. Véier Kontrollen, an der Rei gemaach, beäntweren d'Fro méi séier wéi all Featuretabell.

E fehlende Client mécht der Diskussioun en Enn

Windows a macOS bréngen en IKEv2-Client mat, dofir kascht en IKEv2-Profil do näischt Extra an iwwerhëlt d'Bereetstellungsoptiounen, déi den Betriebssystem schonn ubitt. OpenVPN op deene selwechte Maschinne bedeit en Drëttpartei-Client, dee muss installéiert, aktualiséiert a supportéiert ginn, an dee Client muss all Optioun akzeptéieren, déi de Profil benotzt. Zielt d'Plattformen, déi Dir musst ofdecken, ier Dir eppes anescht vergläicht, well eng Plattform ouni funktionéierende Client iwwerhaapt kee Vergläichspunkt ass.

Op Windows listt ee Kommando d'Profile op, déi et schonn gëtt, a weist, vun wéi engem Typ all eenzel ass. Den Numm, deen en dréckt, ass den Numm, deen déi spéider Kontrollen benotzen.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

D'Ufuerderung, e Client z'installéieren, ass déi richteg Äntwert fir d'OpenVPN-Kolonn op deene Plattformen, an et ass eng Aufgab vum Ausrollen an net eng Protokollsbegrenzung. Keng vun den zwou Léisungen hëlt Trauensprüfungen, Identitéitsverifikatioun oder Ënnerhalt ewech. Frot, wéi Profile verdeelt ginn, wéi Umeldungsinformatiounen erneiert ginn a wéi en verluerenen Apparat erausgeholl gëtt, ier Dir Iech verflicht. Eng einfach Installatioun kann nach ëmmer een Erhuelungsprozess verstoppen, deen um Weekend kee wëll lafen.

Mobilitéit ass eng gemeinsam Astellung, keng Protokollsverspriechung

IKEv2 kann MOBIKE benotzen, wann béid Enner et ënnerstëtzen an ageschalt hunn, wat et engem Client erlaabt, säin Tunnel ze behalen, während seng Adress sech ännert. RFC 4555 definéiert d'Erweiderung, an d'konditional Formuléierung ass wichteg: e Server, deen d'Fäegkeet ignoréiert, verhandelt amplaz nei. D'Resultat ka fir eng Dateiübertragung identesch ausgesinn an fir en direkten Uruff ganz anescht.

Test d'Iwwergang, dee Dir wierklech wichteg fannt, mat eppes, wat leeft a wat Dir kënnt kucken. Loosst ping -t <internal-host> op Windows lafen, oder einfach ping soss, da wiesselt vum Wi-Fi op d'Handysnetz a kuckt no Ënnerbriechungen. E MOBIKE-Feeler erschéngt am Client-Log als vollstänneg Néi-Authentifikatioun an net als roueg Adressaktualiséierung. Wat Dir moosst, ass ob den Tunnel d'Ännerung iwwersteet, net ob de Protokoll Ënnerstëtzung annoncéiert.

OpenVPN-Klienten verbannen sech no hirem Plattformverhalen an de Profil-Timeren nei, dofir kann dee selwechten Test eng aner Form vun Ënnerbriechung bréngen. Vergläicht d'Evenement, dat fir Är Benotzer wichteg ass, an net d'Etikett um Protokoll.

Umeldungsinformatiounen gehéieren zum Service, net zum Stack

Zertifikater an aner Umeldungsarrangements gehéieren zum Service, deen d'Verbindung ofschléisst. Eng Passwuertufuerderung an engem Client seet näischt iwwer d'Kompatibilitéit mat engem aneren, an e Profil, deen géint en anere Gateway funktionéiert, seet näischt iwwer dësen. Halt d'Regele fir d'Serveridentitéit intakt, während Dir déi zwee Stäck vergläicht. D'Protokollwiessel, ier Dir de Feeler identifizéiert hutt, bréngt meeschtens en zweeten inkompatiblen Profil.

Kuckt déi Umeldungsinformatioun un, déi de Client presentéiere wäert, ier Dir ee vun de Protokollen beschëllegt, well en ofgelafenen oder falsch ausgestallte Certificat op béide gläich versoeet. D'Ausgab hei drënner weist Sujet, Aussteller a Gültegkeetsdatumer, ouni de private Schlëssel ze liesen.

openssl x509 -in client.crt -noout -subject -issuer -dates

Fir eng Firmeverbindung benotzt d'Method, déi d'Firma publizéiert, a stoppt d'Vergläich als Experiment ze behandelen. Wann Dir déi zwee selwer vergläicht, kontrolléiert fir d'éischt, ob béid Optioune bei engem eenzegen Gateway ophalen, well deen eenzelen Detail decidéiert, wéi vill vun Ärem Resultat iwwer de Protokoll ass. Eng Oflehnung, déi d'Umeldungsinformatioun nennt, ass e Problem vun der Umeldungsinformatioun, an nach sou vill Protokollwiessel reparéiert dat net.

Kuckt, wat den Tunnel wierklech routet

No der Verbindung bestätegt, datt d'Route déi Dir braucht existéiert an datt Nimm opgeléist ginn. E Profil, deen et fir intern Ressourcë gëtt, kann dat normale Surfen bewosst um lokale Wee loossen, an dat ass eng Richtlinnsentscheedung an net e Feeler. Wichteg ass, ob d'Destinatioune vun Ärem Team duerch den Tunnel erreechbar sinn.

Op Windows decken zwee Kommandos d'Route an d'Nimmssich of. D'Linux-Äquivalenter sinn ip route show default an resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

En Tunnel, deen opkënnt an näischt Nëtzlechtes routet, ass e gemeinsamt Resultat, wann e Profil tëscht Servicer kopéiert gouf, an en allgemengen Konnektivitéitstest weist et net, well d'Interface uewen ass. Test d'Ressource, déi Är Benotzer als éischt opmaachen, an net eng ëffentlech Adress, déi all Wee erreechen kann. Wann den Numm sech an eng ëffentlech Adress opléist, während d'Route an den Tunnel weist, da gehéieren d'DNS-Äntwert an d'Route zu verschiddenen Entscheedungen a béid musse gefléckt ginn.

Wéi d'Ënnerhalt no de Kontrollen

Keen vun de Protokollen ass am Abstrakten méi einfach z'ënnerhalen. D'Ënnerhalt hänkt dovun of, wien de Gateway bedreift, wéi d'Profile bei d'Apparater kommen a wéi séier en verluerenen Apparat den Zougang verléiert. En einfache Client kann virun engem méi schwéier ze bedreiwenen Server stoen, an ëmgedréit geschitt et och. Frot, wéi ee vun deenen zwee Äert Team ka weiderbedreiwen, nodeems deen, deen en gebaut huet, fortgeet.

Wielt déi ënnerstëtzt Verbindung, déi d'Aarbecht ofdeckt, a test se dann géint den Zougang, deen Dir wierklech braucht, an net géint eng Featurelëscht. Halt fest, bei wéi engem Gateway all Optioun ophält, well zwee verschidde Gatewaye maachen de Vergläich esou vill zu enger Fro vun de Routen wéi vun de Protokollen. Widderhëlt déi véier Kontrollen op deem Apparat, deen Dir wierklech wäert droen, an haalt de Profil, deen drop besteet.