OpenVPN Access Server pret Community: kas patiešām pārceļas

Profili pārceļas; lietotāju saraksti paliek aiz muguras. Komanda, kas pāriet starp Access Server un Community Edition, šo plaisu sastop stundu pēc pārejas, kad tās pirmais klients autentificējas un pēc tam tam nav ne grupas politikas, ne maršruta lietotājam, ne pašapkalpošanās paroles atiestatīšanas. Abi produkti runā vienā protokolā un pieņem vienu un to pašu klientu, un tieši tāpēc plaisa plānošanas laikā paliek neredzama. Tas, ko jūs faktiski izvēlaties, ir pārvaldības slānis un cilvēki, kuri to pārvalda.

Uztveriet lēmumu kā inventarizācijas jautājumu, nevis funkciju tabulu. Jautājiet, kas veido lietotājus, kas atsauc sertifikātus un kas atbild uz zvanu 02:00.

Kāpēc .ovpn fails nepārnes konfigurāciju

.ovpn profils apraksta viena klienta attiecības ar vienu serveri: attālināto resursdatoru, protokolu, CA, klienta sertifikātu un atslēgu, kā arī jebkuru iekļauto tls-crypt materiālu. Iemetiet šo failu jaunā instalācijā, un klients joprojām pabeigs rokas paspiešanu, tāpēc migrācija izskatās pabeigta. Nekas tajā neuzskaita lietotājus, viņu grupas, statiskos maršrutus vai politiku, kas noteica, kam vispār drīkst pieslēgties. Šie ieraksti dzīvo paša servera krātuvē, un abi produkti tos glabā dažādās formās.

Community Edition ekvivalenti ir faili, ko glabājat paši: client-config-dir ieraksti ar opcijām katram klientam, piemēram, ifconfig-push un iroute, CRL atsaukšanai un tls-crypt atslēga. Access Server glabā tos pašus jēdzienus savā datubāzē un atklāj tos caur tīmekļa konsoli un sacli komandrindas rīku. Jēdzieni atbilst viens pret vienu; artefakti nemaz nepārvietojas.

Profili arī kontrabandas ceļā ienes uzvedību, ko neviens nepamana, kamēr tā nemainās. Klients ar redirect-gateway def1 sūta visu pārlūkošanu caur serveri; pārvietojiet to uz instalāciju bez šīs rindas, un sūdzība būs, ka internets ir salūzis. CA neatbilstība vai nepareizs remote-cert-tls iestatījums neizdodas skaļi, un tas ir labs iznākums. Trūkstoša tls-crypt atslēga neizdodas kā kluss taimauts, un tas nav labs iznākums.

Ko pārvalda pārvaldības slānis

Saskaitiet to, kas nav protokols: kontu izveide, paroles atiestatīšana, piešķiršana grupām, MFA reģistrācija, savienojuma tiesības un audita pēdas, kas atbild, kas un kad pieslēdzās. Community Edition neko no tā nenodrošina tieši. Jūs izvēlaties autentifikācijas aizmuguri, caur spraudni vai auth-user-pass-verify pievienojat PAM, LDAP vai RADIUS, un pārējo uzturat paši. Access Server piegādā lietotāju portālu, administrācijas konsoli un integrācijas ar ierastiem identitātes nodrošinātājiem. Neviens no risinājumiem nav drošāks pēc noklusējuma, jo politika joprojām jāraksta kādam, kas pārzina tīklu.

Savienojuma tiesības ir visspilgtākā operacionālā atšķirība. Access Server tiek licencēts pēc vienlaicīgu savienojumu skaita un šo skaitu īsteno programmatūrā. Community Edition gadījumā globālais ierobežojums ir viena max-clients rinda, bet viss atsevišķi lietotājam vai grupai nozīmē vairāk client-config-dir darba un jūsu pašu īstenošanu. Komanda, kurai nav vēlmes veikt šo uzturēšanu, pērkot komerciālo produktu, pērk tieši to.

Licencēšana un atbalsts: pozīcija, ko neviens neiekļauj budžetā

Community Edition ir bezmaksas un atvērtā koda. Access Server ir komerciāls, un tā bezmaksas līmenis vēsturiski aptvēra nelielu vienlaicīgu savienojumu skaitu, virs kura ir maksas licence. Jebkurš skaitlis no vecas foruma atbildes tagad ir novecojis, tāpēc pirms projekta izmaksu aprēķināšanas pārbaudiet pašreizējos piegādātāja noteikumus. Godīgais salīdzinājums pieskaita stundas, kas pavadītas, veidojot lietotāju pārvaldību, MFA un uzraudzību kopienas pusē, licencei komerciālajā pusē.

Atbalsta īpašumtiesības seko tam pašam dalījumam. Ar Community Edition jūs esat eskalācijas ceļš katram dīvainajam klientam un katram kodola atjauninājumam. Ar Access Server jums ir piegādātājs, kuram zvanīt, un jūs mantoja tā izlaidumu ritmu, neatkarīgi no tā, vai tas atbilst jūsu izmaiņu logam.

Pārbaudes pirms pārejas

Pirms pārejas jebkurā virzienā inventarizējiet, ko darbībā esošais serveris patiešām glabā. Access Server pusē eksportējiet lietotāju sarakstu un grupu piešķīrumus un atzīmējiet, kuri konti balstās uz MFA. Community Edition pusē uzskaitiet izsniegtos sertifikātus, CRL un katru failu zem client-config-dir. Salīdziniet abus sarakstus rindu pa rindai, jo atšķirība starp tiem ir migrācijas darbs.

Pārbaudiet reprezentatīvus klientus, kamēr vecais pakalpojums vēl darbojas. openvpn --config client.ovpn --verb 4 pirmajā plānā izdrukā rokas paspiešanu, nosūtītos maršrutus un DNS opcijas, un openssl x509 -in client.crt -noout -subject -enddate parāda, kuru sertifikātu klients patiešām uzrāda. Klientam, kas pieslēdzas, bet nesasniedz iekšējo resursdatoru, ir maršruta vai iroute plaisa, nevis autentifikācijas kļūda.

Turiet veco atkopšanas ceļu dzīvu, līdz aizstājējs iztur gan atteiktas piekļuves testu, gan veiksmīgu. Uzrakstiet galīgo karti vienā lapā: katra prasība, artefakts, kas to apmierina šodien, un artefakts, kas to apmierinās pēc tam.