SSTP наспроти OpenVPN: истиот порт 443, различен протокол

Двете опции можат да стојат зад TCP 443, па луѓето претпоставуваат дека се заменливи крајни точки. Не се: SSTP сервер зборува PPP во HTTPS, додека OpenVPN сервер зборува свој протокол преку TLS или низ суров UDP тек. Насочување на еден клиент на портата на другиот создава врска што никогаш не стигнува до екран за најава. Изборот се однесува на кој клиент и кој транспорт можете да го поддржите, а не на бројот.

Заедничка порта не прави заеднички протокол

TLS ракувањето може да заврши и сепак никаде да не води, зашто потоа клиентот и серверот не се согласуваат што да кажат следно. Во снимање на пакети гледате чисто ракување по кое следат апликациски податоци што другата страна ги отфрла или игнорира. Оваа шема е потпис на несовпаѓање на протоколи, а не блокирање од огнен ѕид.

Ниту преименуван профил ниту друга ставка од менито не го претвора едното во другото. SSTP врската се создава од Windows VPN поставките со адреса на сервер и податоците за автентикација на операторот, додека OpenVPN врската бара клиент и соодветна конфигурациска датотека. Спецификацијата на SSTP од Microsoft го опишува првото и не опишува OpenVPN ракување.

Портата 443 е практичност на политиката. Таа поминува низ мрежи што дозволуваат малку друго, и тоа е вистинска предност, но не кажува ништо за тоа кој протокол работи зад неа.

SSTP тунелира PPP во HTTPS

Името ја опишува конструкцијата: PPP рамки што се пренесуваат во HTTPS сесија, што значи TLS долу и сертификат што клиентот може да го провери. Windows го вклучува ова како матичен тип на VPN, па управуван преносен компјутер често може да се поврзе без дополнителен софтвер освен профилот што го дава операторот.

Другите платформи се друга приказна. Linux или macOS клиент бара одржувана имплементација, и тие се разликуваат по тоа што поддржуваат и како пријавуваат грешки. Проверете го клиентот што навистина смятате да го користите наместо да претпоставите дека вградената можност на Windows се пренесува, и потврдете дека името на серверот во профилот се совпаѓа со сертификатот што серверот го претставува.

SSTP обично е само TCP. Тој единствен транспорт влијае на тоа како се однесува на врска со загуби, зашто повторното пренесување се случува и внатре во тунелот и под него.

OpenVPN носи свој клиент и избор на транспорт

OpenVPN доставува свој клиент и профил, што ви дава дијагностика што матичниот Windows дијалог не ја покажува. Серверот може да слуша на UDP или TCP, а конфигурацијата на операторот одлучува која вашиот клиент мора да ја користи. Профил насочен кон погрешен транспорт паѓа пред автентикацијата.

Автентикацијата исто толку зависи од конфигурацијата. Поставување може да бара само сертификати, сертификати плус корисничко име и лозинка, или втор фактор одозгора, и клиентот мора точно да одговара на тој распоред. Тоа што врската стигнува до TLS фаза не кажува кои акредитиви ќе ги побара следно.

UDP е вообичаеното стандардно, зашто избегнува вгнездување на сигурен тек во друг сигурен тек. TCP режимот постои за мрежи што го блокираат UDP, и работи, но големи загуби можат да го направат да се чувствува полошо од UDP патеката што ја замени. Изберете TCP кога мора, не зашто звучи посигурно.

Изберете според клиент, транспорт и поддршка

Три прашања решаваат повеќето од овие одлуки. Дали на секој клиентски уред му треба врска што работи без дополнителен софтвер? Дали мрежата на која се потпирате дозволува UDP, или TCP 443 е единствениот излез? И кој го поддржува клиентот, неговите ажурирања и неговото возобновување кога профилот истекува?

Кога ги споредувате двете, тестирајте на истиот уред и истата пристапна мрежа. Ако крајната точка на SSTP и крајната точка на OpenVPN се различни сервери или различни локации, вашиот резултат ги вклучува тие рути и машини наместо да го изолира протоколот. Ова е најчестиот начин ваквите споредби да дадат сигурен, но погрешен одговор.

Потоа потврдете која всушност сте ја воспоставиле пред да отстранувате грешки во ништо друго:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Како и да е, завршете со тестирање на ресурсот и DNS-от што ви се потребни наместо да прогласите успех во состојбата на тунелот. Двата протокола можат да се конфигурираат да пренесуваат само избран приватен сообраќај, а поврзан тунел без функционално разрешување на имиња изгледа како расипан VPN кога всушност е дизајн на поделен тунел или DNS.

Во управувана флота, дистрибуцијата на профили и поддршката за ажурирања обично го решаваат прашањето многу пред било какво мерење на транспортот.