SSTP prieš OpenVPN: tas pats 443 prievadas, kitas protokolas

Abu variantai gali stovėti už TCP 443, todėl žmonės mano, kad tai keičiami galiniai taškai. Taip nėra: SSTP serveris kalba PPP HTTPS viduje, o OpenVPN serveris kalba savo protokolu per TLS arba neapdorotu UDP srautu. Nukreipus vieną klientą į kito prievadą gaunamas ryšys, kuris niekada nepasiekia prisijungimo raginimo. Pasirinkimas susijęs su tuo, kokį klientą ir transportą galite palaikyti, o ne su numeriu.

Bendras prievadas nesukuria bendro protokolo

TLS rankos paspaudimas gali baigtis ir vis tiek niekur nenuvesti, nes po jo klientas ir serveris nesutaria, ką sakyti toliau. Paketų įraše matote švarų rankos paspaudimą, po kurio eina programos duomenys, kuriuos kita pusė atmeta arba ignoruoja. Šis modelis yra protokolų neatitikimo požymis, o ne užkardos blokavimas.

Nei pervadintas profilis, nei kitas meniu punktas nepaverčia vieno kitu. SSTP ryšys sukuriamas Windows VPN nustatymuose nurodant serverio adresą ir operatoriaus autentifikavimo duomenis, o OpenVPN ryšiui reikia kliento ir atitinkamo konfigūracijos failo. Microsoft SSTP specifikacija aprašo pirmąjį ir neaprašo OpenVPN rankos paspaudimo.

443 prievadas yra politikos patogumas. Jis praeina per tinklus, kurie leidžia mažai ko kito, ir tai yra tikras privalumas, bet jis nieko nesako apie tai, koks protokolas veikia už jo.

SSTP tuneliuoja PPP HTTPS viduje

Pavadinimas aprašo konstrukciją: HTTPS sesijos viduje perduodami PPP kadrai, tai reiškia TLS apačioje ir sertifikatą, kurį klientas gali patikrinti. Windows tai įtraukia kaip vietinį VPN tipą, todėl valdomas nešiojamasis kompiuteris dažnai gali prisijungti be papildomos programinės įrangos, išskyrus operatoriaus pateiktą profilį.

Kitos platformos yra kita istorija. Linux arba macOS klientui reikia palaikomos implementacijos, ir jos skiriasi tuo, ką palaiko ir kaip praneša klaidas. Patikrinkite klientą, kurį iš tikrųjų ketinate naudoti, o ne manykite, kad integruota Windows galimybė persikels, ir patvirtinkite, kad profilio serverio pavadinimas atitinka serverio pateikiamą sertifikatą.

SSTP paprastai yra tik TCP. Ta viena transporto priemonė daro įtaką, kaip jis elgiasi nuostolingoje linijoje, nes pakartotinis perdavimas vyksta ir tunelio viduje, ir po juo.

OpenVPN atsineša savo klientą ir transporto pasirinkimą

OpenVPN pateikia savo klientą ir profilį, o tai duoda diagnostiką, kurios vietinis Windows dialogas neparodo. Serveris gali klausytis UDP arba TCP, o operatoriaus konfigūracija nusprendžia, kurį turi naudoti jūsų klientas. Profilis, nukreiptas į netinkamą transportą, žlunga prieš autentifikavimą.

Autentifikavimas taip pat priklauso nuo konfigūracijos. Diegimas gali reikalauti tik sertifikatų, sertifikatų su vartotojo vardu ir slaptažodžiu arba antrojo veiksnio viršuje, ir klientas turi tiksliai atitikti tą tvarką. Tai, kad ryšys pasiekia TLS etapą, nesako, kokių prisijungimo duomenų jis prašys toliau.

UDP yra įprastas numatytasis variantas, nes jis išvengia patikimo srauto įdėjimo į kitą patikimą srautą. TCP režimas egzistuoja tinklams, kurie blokuoja UDP, ir jis veikia, bet didelis nuostolis gali priversti jį jaustis blogiau nei UDP kelias, kurį jis pakeitė. Rinkitės TCP, kai turite, o ne todėl, kad jis skamba patikimiau.

Rinkitės pagal klientą, transportą ir palaikymą

Trys klausimai išsprendžia daugumą šių sprendimų. Ar kiekvienam kliento įrenginiui reikia ryšio, kuris veikia be papildomos programinės įrangos? Ar tinklas, kuriuo pasitikite, leidžia UDP, ar TCP 443 yra vienintelė išeitis? Ir kas palaiko klientą, jo atnaujinimus bei atkūrimą, kai profilis baigiasi?

Kai lyginate abu, bandykite tame pačiame įrenginyje ir tame pačiame prieigos tinkle. Jei SSTP galinis taškas ir OpenVPN galinis taškas yra skirtingi serveriai ar skirtingos vietos, jūsų rezultatas apima tuos maršrutus ir mašinas, o ne išskiria protokolą. Tai yra labiausiai paplitęs būdas, kuriuo tokie palyginimai pateikia užtikrintą, bet neteisingą atsakymą.

Tada patvirtinkite, kurį iš tikrųjų nustatėte, prieš derindami ką nors kita:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Kad ir kaip būtų, pabaikite testuodami išteklių ir DNS, kurių jums reikia, o ne skelbdami sėkmę tunelio būsenoje. Abu protokolai gali būti sukonfigūruoti perduoti tik pasirinktą privatų srautą, o prijungtas tunelis be veikiančio vardų sprendimo atrodo kaip sugedęs VPN, kai iš tikrųjų tai padalinto tunelio ar DNS dizainas.

Valdomame parke profilių platinimas ir atnaujinimų palaikymas paprastai išsprendžia klausimą daug anksčiau nei bet koks transporto matavimas.