SSTP pret OpenVPN: tas pats 443 ports, cits protokols

Abi varianti var atrasties aiz TCP 443, tāpēc cilvēki pieņem, ka tie ir savstarpēji aizstājami galapunkti. Tā nav: SSTP serveris runā PPP HTTPS iekšienē, savukārt OpenVPN serveris runā savu protokolu virs TLS vai caur neapstrādātu UDP plūsmu. Novirzot vienu klientu uz otra portu, tiek izveidots savienojums, kas nekad neaizsniedz pieteikšanās uzvedni. Izvēle attiecas uz to, kuru klientu un transportu jūs varat atbalstīt, nevis uz numuru.

Kopīgs ports neveido kopīgu protokolu

TLS rokasspiediens var pabeigties un tomēr nekur neaizvest, jo pēc tam klients un serveris neviens otru nesaprot, ko teikt tālāk. Pakešu ierakstā jūs redzat tīru rokasspiedienu, kam seko lietojumprogrammas dati, ko otra puse noraida vai ignorē. Šis modelis ir protokolu nesaderības paraksts, nevis ugunsmūra bloķēšana.

Ne pārdēvēts profils, ne cita izvēlnes vienība nepārvērš vienu otrā. SSTP savienojums tiek izveidots Windows VPN iestatījumos ar servera adresi un operatora autentifikācijas datiem, savukārt OpenVPN savienojumam vajadzīgs klients un atbilstošais konfigurācijas fails. Microsoft SSTP specifikācija apraksta pirmo un neapraksta OpenVPN rokasspiedienu.

Ports 443 ir politikas ērtība. Tas iziet caur tīkliem, kas pieļauj maz ko citu, un tā ir reāla priekšrocība, taču tas neko nepasaka par to, kurš protokols darbojas aiz tā.

SSTP tunelē PPP HTTPS iekšienē

Nosaukums apraksta uzbūvi: PPP kadri, kas tiek pārvietoti HTTPS sesijas iekšienē, tas nozīmē TLS apakšā un sertifikātu, ko klients var pārbaudīt. Windows to iekļauj kā vietēju VPN tipu, tāpēc pārvaldīts portatīvais dators bieži var pieslēgties bez papildu programmatūras, izņemot operatora nodrošināto profilu.

Citas platformas ir cits stāsts. Linux vai macOS klientam vajadzīga uzturēta implementācija, un tās atšķiras ar to, ko tās atbalsta un kā ziņo par kļūdām. Pārbaudiet klientu, ko patiešām plānojat izmantot, nevis pieņemiet, ka Windows iebūvētā iespēja pārnāks, un apstipriniet, ka profila servera nosaukums atbilst sertifikātam, ko serveris uzrāda.

SSTP parasti ir tikai TCP. Šis vienīgais transports ietekmē to, kā tas uzvedas uz saites ar zudumiem, jo atkārtota pārsūtīšana notiek gan tuneļa iekšienē, gan zem tā.

OpenVPN piedāvā savu klientu un transporta izvēli

OpenVPN piegādā savu klientu un profilu, kas dod diagnostiku, ko vietējais Windows dialogs neparāda. Serveris var klausīties UDP vai TCP, un operatora konfigurācija nosaka, kuru jūsu klientam jāizmanto. Profils, kas vērsts uz nepareizo transportu, neizdodas pirms autentifikācijas.

Autentifikācija tikpat lielā mērā ir atkarīga no konfigurācijas. Izvietojums var prasīt tikai sertifikātus, sertifikātus plus lietotājvārdu un paroli, vai otru faktoru virsū, un klientam precīzi jāatbilst šai kārtībai. Tas, ka savienojums sasniedz TLS posmu, nepasaka, kādus akreditācijas datus tas prasīs tālāk.

UDP ir ierastā noklusējuma vērtība, jo tā izvairās no uzticamas plūsmas ievietošanas citā uzticamā plūsmā. TCP režīms pastāv tīkliem, kas bloķē UDP, un tas darbojas, taču lieli zudumi var likt tam justies sliktāk nekā UDP ceļam, ko tas aizstāja. Izvēlieties TCP, kad vajag, nevis tāpēc, ka tas izklausās uzticamāk.

Izvēlieties pēc klienta, transporta un atbalsta

Trīs jautājumi izšķir lielāko daļu šo lēmumu. Vai katrai klienta ierīcei vajadzīgs savienojums, kas darbojas bez papildu programmatūras? Vai tīkls, no kura esat atkarīgs, pieļauj UDP, vai TCP 443 ir vienīgā izeja? Un kas atbalsta klientu, tā atjauninājumus un atjaunošanu, kad profils beidzas?

Salīdzinot abus, testējiet tajā pašā ierīcē un tajā pašā piekļuves tīklā. Ja SSTP galapunkts un OpenVPN galapunkts ir dažādi serveri vai dažādas vietas, jūsu rezultāts ietver šos maršrutus un mašīnas, nevis izolē protokolu. Tas ir visizplatītākais veids, kā šādi salīdzinājumi sniedz pārliecinātu, bet nepareizu atbildi.

Pēc tam apstipriniet, kuru jūs patiešām izveidojāt, pirms atkļūdojat jebko citu:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Lai kā būtu, pabeidziet, pārbaudot resursu un DNS, kas jums nepieciešams, nevis pasludinot panākumus tuneļa stāvoklī. Abus protokolus var konfigurēt, lai pārvadītu tikai izvēlētu privātu satiksmi, un pievienots tunelis bez funkcionējošas nosaukumu izšķiršanas izskatās kā salūzis VPN, kad patiesībā tas ir sadalīta tuneļa vai DNS dizains.

Pārvaldītā parkā profilu izplatīšana un atjauninājumu atbalsts parasti izšķir jautājumu daudz agrāk nekā jebkurš transporta mērījums.