OpenVPN Access Server ar Community: kas iš tiesų persikelia

Profiliai persikelia; vartotojų sąrašai lieka. Komanda, pereinanti tarp Access Server ir Community Edition, su tuo trūkumu susiduria praėjus valandai po perėjimo, kai jos pirmasis klientas autentifikuojasi ir tada neturi nei grupių politikos, nei maršruto vartotojui, nei savitarnos slaptažodžio atkūrimo. Abu produktai kalba ta pačia protokolo kalba ir priima tą patį klientą, ir būtent todėl planuojant šis trūkumas lieka nematomas. Iš tikrųjų renkatės valdymo sluoksnį ir žmones, kurie jį valdo.

Vertinkite sprendimą kaip inventorizacijos klausimą, o ne funkcijų lentelę. Paklauskite, kas kuria vartotojus, kas atšaukia sertifikatus ir kas atsiliepia į skambutį 02:00.

Kodėl .ovpn failas neperneša konfigūracijos

.ovpn profilis aprašo vieno kliento santykį su vienu serveriu: nuotolinį mazgą, protokolą, CA, kliento sertifikatą ir raktą bei bet kokią įterptą tls-crypt medžiagą. Įmeskite tą failą į naują diegimą, ir klientas vis tiek baigs rankos paspaudimą, todėl migracija atrodo baigta. Niekas jame neišvardija vartotojų, jų grupių, statinių maršrutų ar politikos, kuri lėmė, kam apskritai leidžiama jungtis. Tie įrašai gyvena serverio pačio saugykloje, o abu produktai juos saugo skirtingomis formomis.

Community Edition atitikmenys yra failai, kuriuos laikote patys: client-config-dir įrašai su kiekvieno kliento parinktimis, tokiomis kaip ifconfig-push ir iroute, atšaukimams skirtas CRL ir tls-crypt raktas. Access Server laiko tas pačias sąvokas savo duomenų bazėje ir atskleidžia jas per žiniatinklio konsolę bei sacli komandinės eilutės įrankį. Sąvokos atitinka viena kitą; artefaktai visiškai nejuda.

Profiliai taip pat kontrabanda įneša elgesį, kurio niekas nepastebi, kol jis nepasikeičia. Klientas su redirect-gateway def1 siunčia visą naršymą per serverį; perkelkite jį į diegimą be šios eilutės, ir skundas bus, kad internetas sugedo. CA neatitikimas ar neteisingas remote-cert-tls nustatymas nepavyksta garsiai, ir tai geras rezultatas. Trūkstamas tls-crypt raktas nepavyksta kaip tyli laiko pertrūkis, ir tai nėra geras rezultatas.

Ką valdo valdymo sluoksnis

Suskaičiuokite tai, kas nėra protokolas: paskyrų kūrimas, slaptažodžių atkūrimas, priskyrimas grupėms, MFA registracija, prisijungimo teisės ir audito pėdsakas, atsakantis, kas ir kada prisijungė. Community Edition nieko to tiesiogiai neteikia. Pasirenkate autentifikacijos sistemą, per įskiepį ar auth-user-pass-verify prijungiate PAM, LDAP ar RADIUS ir likusią dalį prižiūrite patys. Access Server pateikia vartotojų portalą, administravimo konsolę ir integracijas su įprastais tapatybės teikėjais. Nė vienas sprendimas nėra saugesnis pagal nutylėjimą, nes politiką vis tiek turi parašyti tas, kas pažįsta tinklą.

Teisės į prisijungimą yra ryškiausias operacinis skirtumas. Access Server licencijuojamas pagal vienalaikių prisijungimų skaičių ir tą skaičių įgyvendina programiškai. Community Edition atveju pasaulinė riba yra viena max-clients eilutė, o viskas pagal vartotoją ar grupę reiškia daugiau client-config-dir darbo ir jūsų pačių vykdymą. Komanda, neturinti noro tokiai priežiūrai, pirkdama komercinį produktą perka būtent tai.

Licencijavimas ir palaikymas: eilutė, kurios niekas nebiudžetuoja

Community Edition yra nemokama ir atvirojo kodo. Access Server yra komercinis, o jo nemokamas lygmuo istoriškai apėmė nedidelį vienalaikių prisijungimų skaičių, virš kurio galioja mokama licencija. Bet koks skaičius iš seno forumo atsakymo jau pasenęs, todėl prieš skaičiuodami projekto kainą patikrinkite dabartines tiekėjo sąlygas. Sąžiningas palyginimas prideda valandas, praleistas kuriant vartotojų valdymą, MFA ir stebėjimą bendruomenės pusėje, prie licencijos eilutės komercinėje pusėje.

Pagalbos nuosavybė laikosi to paties padalijimo. Su Community Edition jūs esate eskaliacijos kelias kiekvienam keistam klientui ir kiekvienam branduolio atnaujinimui. Su Access Server turite tiekėją, kuriam galite paskambinti, ir paveldite jo leidimų ritmą, ar jis tinka jūsų pakeitimų langui, ar ne.

Patikros prieš perėjimą

Prieš perėjimą bet kuria kryptimi suinventorizuokite, ką iš tikrųjų laiko veikiantis serveris. Access Server pusėje eksportuokite vartotojų sąrašą ir grupų priskyrimus bei atkreipkite dėmesį, kurios paskyros remiasi MFA. Community Edition pusėje išvardykite išduotus sertifikatus, CRL ir kiekvieną failą po client-config-dir. Palyginkite abu sąrašus eilutė po eilutės, nes skirtumas tarp jų yra migracijos darbas.

Išbandykite reprezentatyvius klientus, kol sena paslauga dar veikia. openvpn --config client.ovpn --verb 4 pirmame plane išspausdina rankos paspaudimą, persiųstus maršrutus ir DNS parinktis, o openssl x509 -in client.crt -noout -subject -enddate parodo, kokį sertifikatą klientas iš tikrųjų pateikia. Klientas, kuris prisijungia, bet nepasiekia vidinio mazgo, turi maršruto arba iroute spragą, o ne autentifikacijos klaidą.

Išlaikykite seną atkūrimo kelią gyvą tol, kol pakaitalas praeis ir atmestos prieigos testą, ir sėkmingą. Galutinį žemėlapį užrašykite viename puslapyje: kiekvienas reikalavimas, artefaktas, kuris jį tenkina šiandien, ir artefaktas, kuris jį tenkins vėliau.