SSTP géint OpenVPN: deen selwechte Port 443, en anert Protokoll

Déi zwou Optioune kënnen allebéid hannert TCP 443 leien, dofir huelen d'Leit un, et wären austauschbar Endpunkter. Dat sinn se net: SSTP Server schwätzt PPP bannent HTTPS, während en OpenVPN-Server säin eegent Protokoll iwwer TLS oder duerch e rohe UDP-Stroum schwätzt. En eenzege Client op de Port vum aneren ze riichten ergëtt eng Verbindung, déi ni bis zum Login kënnt. D'Wiel geet ëm wéi ee Client a wéi en Transport s du ënnerstëtze kanns, net ëm d'Nummer.

En gemeinsame Port mécht nach kee gemeinsame Protokoll

Den TLS-Handshake kann ofgeschloss ginn an trotzdem néierens hifaieren, well sech Client a Server duerno net eens sinn, wat als nächst ze soe wär. An engem Pakkemitschnëtt gesäit een en propperen Handshake, duerno Applikatiounsdaten, déi déi aner Säit refuséiert oder ignoréiert. Dëst Muster ass d'Signatur vun enger Protokoll-Onverträglechkeet an net vun enger Firewall-Spär.

Weder en ëmbenannten Profil nach en anere Menüpunkt mécht dat engt aus deem aneren. Eng SSTP-Verbindung gëtt an den Windows-VPN-Astellungen mat enger Serveradress an den Authentifizéierungsdetailer vum Bedreiwer erstallt, während eng OpenVPN-Verbindung de Client an de passende Konfiguratiounsfichier brauch. Dem Microsoft seng SSTP-Spezifikatioun beschreift dat éischt a beschreift keen OpenVPN-Handshake.

Port 443 ass eng Bequemlechkeet vun der Politik. En duerchkënnt Netzwierker, déi wéineg anescht erlaben, an dat ass e reelle Virdeel, awer en seet näischt driwwer, wéien Protokoll hannendrun leeft.

SSTP tunnelt PPP bannent HTTPS

Den Numm beschreift den Opbau: PPP-Framen, déi bannent enger HTTPS-Sessioun transportéiert ginn, also TLS drënner an en Zertifika, deen de Client iwwerpréiwe kann. Windows enthält dat als nativen VPN-Typ, sou datt en verwalteten Laptop oft ouni zousätzlech Software just mam Profil vum Bedreiwer verbanne kann.

Aner Plattforme sinn eng aner Geschicht. En Linux- oder macOS-Client brauch eng ënnerhalen Implementatioun, an déi ënnerscheede sech doranner, wat se ënnerstëtzen a wéi se Feeler mellen. Iwwerpréif de Client, deen s du würklech wëlls benotzen, amplaz unzehuelen, datt d'Windows-Fäegkeet iwwerdroe gëtt, a bestäteg, datt den Servernumm am Profil mam Zertifika iwwereneestëmmt, deen de Server presentéiert.

SSTP ass normalerweis just TCP. Dee eenzegen Transport beaflosst, wéi en sech op enger Verbindung mat Verloscht verhält, well d'Iwwerdroung souwuel bannent dem Tunnel wéi och drënner geschitt.

OpenVPN bréngt säin eegenen Client an eng Transportwiel

OpenVPN liwwert säin eegenen Client a Profil, wat der Diagnostik gëtt, déi en nativen Windows-Dialog net weist. De Server kann op UDP oder TCP lauschteren, an d'Konfiguratioun vum Bedreiwer entscheet, wat däi Client benotze muss. E Profil, dee op de falschen Transport weist, schléit virun der Authentifizéierung feel.

D'Authentifizéierung hänkt genee sou vun der Konfiguratioun of. Eng Deployement ka just Zertifikater verlaangen, Zertifikater plus Benotzernumm a Passwuert oder en zweete Faktor drop, an de Client muss genee zu där Uerdnung passen. Datt eng Verbindung d'TLS-Phase erreecht, seet net, wéi eng Umeldungsdaten se als nächst froe wäert.

UDP ass den üblechen Default, well en et vermeit, en zuverlässegen Stroum an en aneren zuverlässegen ze schachtelen. Den TCP-Modus gëtt et fir Netzwierker, déi UDP spären, an en funktionéiert, awer e staarke Verloscht kann en sech méi schlëmm ufillen, wéi deen UDP-Wee, deen en ersat huet. Wiel TCP, wann s du muss, net well et méi zuverlässeg kléngt.

Wiel nom Client, Transport a Support

Dräi Froen entscheeden déi meescht vun dësen Decisiounen. Brauch all Client-Gerät eng Verbindung, déi ouni zousätzlech Software schafft? Erlaabt d'Netzwierk, op dat s du ugewise bass, UDP, oder ass TCP 443 den eenzegen Ausgang? A wien ënnerstëtzt de Client, seng Aktualiséierungen a seng Erhuelung, wann e Profil ofleeft?

Wann s du déi zwee vergläichs, test um selwechte Gerät an am selwechten Zougangsnetzwierk. Wann den SSTP-Endpunkt an den OpenVPN-Endpunkt verschidde Server oder verschidde Standorte sinn, enthält däi Resultat déi Weeër a Maschinnen, amplaz de Protokoll ze isoléieren. Dat ass dee heefegste Wee, wéi sou Vergläicher eng selbstsécher awer falsch Äntwert liwweren.

Bestäteg dann, wéien s du würklech opgebaut hues, ier s du iergendepres anescht ënnersichs:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Wéi och ëmmer, schléiss domat of, d'Ressource an den DNS ze testen, déi s du brauchs, amplaz Erfolleg am Tunnelzoustand ze erklären. Béid Protokoller kënnen sou konfiguréiert ginn, datt se just ausgewielten private Verkéier droen, an en verbonnenen Tunnel ouni funktionéierend Nummopléisung gesäit aus wéi e caputte VPN, wann et an Wierklechkeet en Split-Tunnel- oder DNS-Design ass.

An enger verwalteter Flott entscheeden d'Verdeelung vu Profilen an de Support fir Aktualiséierungen d'Fro meeschtens laang éier iergendeng Transportmesst.