OpenVPN Access Server наспроти Community: што навистина се префрла

Профилите се префрлаат; листите на корисници остануваат. Тимот што преминува меѓу Access Server и Community Edition се среќава со таа празнина еден час по преминот, кога неговиот прв клиент се автентификува и потоа нема групна политика, нема рута по корисник и нема самоуслужно ресетирање лозинка. Двата производи го зборуваат истиот протокол и прифаќаат ист клиент, и токму затоа празнината останува невидлива при планирањето. Она што навистина го избирате е слојот за управување и луѓето што го поседуваат.

Третирајте ја одлуката како прашање на инвентар, а не како табела со функции. Прашајте кој создава корисници, кој отповикува сертификати и кој одговара на повикот во 02:00.

Зошто датотеката .ovpn не ја носи поставеноста

.ovpn профилот опишува односот на еден клиент со еден сервер: далечинскиот домаќин, протоколот, CA, клиентски сертификат и клуч, и секој вграден tls-crypt материјал. Фрлете ја таа датотека во нова инсталација и клиентот сепак ќе го заврши ракувањето, па миграцијата изгледа завршена. Ништо во неа не ги наведува корисниците, нивните групи, нивните статични рути или политиката што одлучувала кому воопшто му е дозволено да се поврзе. Тие записи живеат во сопственото складиште на серверот, а двата производи ги чуваат во различни форми.

Во Community Edition еквивалентите се датотеки што ги чувате самите: client-config-dir записи со опции по клиент како ifconfig-push и iroute, CRL за отповикувања и клучот tls-crypt. Access Server ги чува истите концепти во својата база на податоци и ги изложува преку веб-конзола и алатката за командна линија sacli. Концептите се совпаѓаат еден на еден; артефактите воопшто не се префрлаат.

Профилите исто така криумчарат однесување што никој не го забележува додека не се промени. Клиент со redirect-gateway def1 го праќа целото прелистување преку серверот; преместете го во инсталација без таа линија и жалбата ќе биде дека интернетот се расипал. Несовпаѓање на CA или погрешно поставување на remote-cert-tls не успева гласно, што е добар исход. Клучот tls-crypt што недостасува не успева како тивок тајмаут, што не е добро.

Што поседува слојот за управување

Избројте што не е протокол: создавање сметки, ресетирање лозинки, доделување групи, регистрација за MFA, права за поврзување и аудиторската трага што одговара кој кога се поврзал. Community Edition не нуди ништо од тоа директно. Вие избирате бекенд за автентикација, поврзувате PAM, LDAP или RADIUS преку приклучок или auth-user-pass-verify, и го одржувате остатокот самите. Access Server доставува кориснички портал, административна конзола и интеграции со вообичаени даватели на идентитет. Ниту едно од решенијата не е побезбедно по стандард, бидејќи политиката се уште мора да ја напише некој што ја познава мрежата.

Правата се најостриот оперативен разлика. Access Server се лиценцира според бројот на истовремени врски и тој број го спроведува софтверски. Во Community Edition глобалниот лимит е една max-clients линија, додека се по корисник или по група значи повеќе работа со client-config-dir и ваше сопствено спроведување. Тимот без желба за тоа одржување го купува токму тоа кога плаќа за комерцијалниот производ.

Лиценцирање и поддршка: ставката што никој не ја предвидува во буџетот

Community Edition е бесплатен и со отворен код. Access Server е комерцијален, а неговото бесплатно ниво историски покривало мал број истовремени врски, со платена лиценца над тоа. Секој број цитиран во стар одговор на форум е веќе застарен, затоа проверете ги тековните услови на добавувачот пред да го пресметате проектот. Честната споредба ги додава часовите потрошени за градење управување со корисници, MFA и мониторинг на страната на заедницата кон линијата за лиценца на комерцијалната страна.

Сопственоста на поддршката го следи истото разделување. Со Community Edition вие сте патот за ескалација за секој чуден клиент и секое ажурирање на јадрото. Со Access Server имате добавувач на кого да се јавите, и го наследувате неговиот ритам на изданија, без разлика дали одговара на вашиот прозорец за промени.

Проверки пред преминот

Пред преминот во која било насока направете инвентар на тоа што навистина го чува серверот во работа. На страната на Access Server извезете ја листата на корисници и доделувањата на групи и забележете кои сметки зависат од MFA. На страната на Community Edition наведете ги издадените сертификати, CRL и секоја датотека под client-config-dir. Споредете ги двете листи ред по ред, бидејќи разликата меѓу нив е работата на миграцијата.

Тестирајте репрезентативни клиенти додека старата услуга се уште работи. openvpn --config client.ovpn --verb 4 во преден план го печати ракувањето, испратените рути и DNS опциите, а openssl x509 -in client.crt -noout -subject -enddate покажува кој сертификат клиентот навистина го презентира. Клиент што се поврзува но не може да стигне до внатрешен домаќин има празнина во рутата или во iroute, а не неуспех на автентикацијата.

Држете го стариот пат за обновување жив додека замената не го положи и тестот за одбиен пристап, како и успешниот. Напишете ја конечната карта на една страница: секој услов, артефактот што го задоволува денес и артефактот што ќе го задоволи потоа.