OpenVPN Access Server vs Community: യഥാർത്ഥത്തിൽ എന്താണ് കൈമാറ്റം ചെയ്യപ്പെടുന്നത്

പ്രൊഫൈലുകൾ നീങ്ങുന്നു; ഉപയോക്തൃ പട്ടികകൾ പിന്നിൽ അവശേഷിക്കുന്നു. Access Server-നും Community Edition-നും ഇടയിൽ മാറുന്ന ടീം കട്ട്ഓവറിന്റെ ഒരു മണിക്കൂറിനുള്ളിൽ ആ വിടവ് കാണുന്നു, അവരുടെ ആദ്യ ക്ലയന്റ് പ്രാമാണീകരിക്കപ്പെടുന്നു, പിന്നീട് ഗ്രൂപ്പ് നയവും ഉപയോക്താവിന് വേണ്ടിയുള്ള റൂട്ടും സ്വയം-സേവന പാസ്വേഡ് റീസെറ്റും ഒന്നുമില്ല. രണ്ട് ഉൽപ്പന്നങ്ങളും ഒരേ പ്രോട്ടോക്കോൾ സംസാരിക്കുകയും ഒരേ ക്ലയന്റ് സ്വീകരിക്കുകയും ചെയ്യുന്നതിനാൽ, ആസൂത്രണ സമയത്ത് ഈ വിടവ് അദൃശ്യമായി തുടരുന്നു. യഥാർത്ഥത്തിൽ നിങ്ങൾ തിരഞ്ഞെടുക്കുന്നത് മാനേജ്മെന്റ് പാളിയും അതിന്റെ ഉടമകളായ ആളുകളുമാണ്.

തീരുമാനത്തെ ഫീച്ചർ പട്ടികയല്ല, ഇൻവെന്ററി ചോദ്യമായി കാണുക. ആരാണ് ഉപയോക്താക്കളെ സൃഷ്ടിക്കുന്നത്, ആരാണ് സർട്ടിഫിക്കറ്റുകൾ റദ്ദാക്കുന്നത്, രാത്രി 02:00-ന് ആരാണ് ഫോൺ എടുക്കുന്നത് എന്ന് ചോദിക്കുക.

.ovpn ഫയൽ ക്രമീകരണം എന്തുകൊണ്ട് വഹിക്കുന്നില്ല

ഒരു .ovpn പ്രൊഫൈൽ ഒരു ക്ലയന്റിന്റെ ഒരു സെർവറുമായുള്ള ബന്ധം വിവരിക്കുന്നു: ദൂരസ്ഥ ഹോസ്റ്റ്, പ്രോട്ടോക്കോൾ, CA, ക്ലയന്റ് സർട്ടിഫിക്കറ്റും കീയും, ഏതെങ്കിലും ഇൻലൈൻ tls-crypt മെറ്റീരിയലും. ആ ഫയൽ ഒരു പുതിയ ബിൽഡിലേക്ക് ഇടുക, എന്നിട്ടും ക്ലയന്റ് ഹാൻഡ്ഷേക്ക് പൂർത്തിയാക്കുന്നു, അതിനാൽ കൈമാറ്റം കഴിഞ്ഞതായി തോന്നുന്നു. അതിൽ ഉപയോക്താക്കളും അവരുടെ ഗ്രൂപ്പുകളും സ്ഥിര റൂട്ടുകളും ആരെയാണ് ബന്ധിപ്പിക്കാൻ അനുവദിക്കുന്നത് എന്ന് തീരുമാനിച്ച നയവും ഒന്നും പട്ടികപ്പെടുത്തിയിട്ടില്ല. ആ രേഖകൾ സെർവറിന്റെ സ്വന്തം സംഭരണത്തിൽ ജീവിക്കുന്നു, രണ്ട് ഉൽപ്പന്നങ്ങളും അവ വ്യത്യസ്ത രൂപങ്ങളിൽ സൂക്ഷിക്കുന്നു.

Community Edition-ൽ തുല്യമായവ നിങ്ങൾ സൂക്ഷിക്കുന്ന ഫയലുകളാണ്: ഓരോ ക്ലയന്റിനുമുള്ള ifconfig-push, iroute പോലുള്ള ഓപ്ഷനുകൾ വഹിക്കുന്ന client-config-dir എൻട്രികൾ, റദ്ദാക്കലുകൾക്കുള്ള CRL, tls-crypt കീ. Access Server അതേ ആശയങ്ങൾ സ്വന്തം ഡാറ്റാബേസിൽ സൂക്ഷിക്കുകയും വെബ് കൺസോളിലൂടെയും sacli കമാൻഡ് ലൈൻ ടൂളിലൂടെയും വെളിപ്പെടുത്തുകയും ചെയ്യുന്നു. ആശയങ്ങൾ ഒന്നിനൊന്ന് യോജിക്കുന്നു; കലാസൃഷ്ടികൾ ഒട്ടും നീങ്ങുന്നില്ല.

പ്രൊഫൈലുകൾ മാറുന്നതുവരെ ആരും ശ്രദ്ധിക്കാത്ത പെരുമാറ്റവും കള്ളക്കടത്തായി കൊണ്ടുവരുന്നു. redirect-gateway def1 ഉള്ള ക്ലയന്റ് എല്ലാ ബ്രൗസിംഗും സെർവറിലൂടെ അയയ്ക്കുന്നു; ആ വരിയില്ലാത്ത ബിൽഡിലേക്ക് അത് നീക്കുക, ഇന്റർനെറ്റ് തകർന്നു എന്ന പരാതിയാകും. CA പൊരുത്തക്കേടോ തെറ്റായ remote-cert-tls ക്രമീകരണമോ ഉച്ചത്തിൽ പരാജയപ്പെടുന്നു, അതാണ് നല്ല ഫലം. കാണാത്ത tls-crypt കീ നിശ്ശബ്ദ ടൈംഔട്ടായി പരാജയപ്പെടുന്നു, അത് നല്ലതല്ല.

മാനേജ്മെന്റ് പാളി എന്തിനെ സ്വന്തമാക്കുന്നു

പ്രോട്ടോക്കോൾ അല്ലാത്തത് എണ്ണുക: അക്കൗണ്ട് സൃഷ്ടി, പാസ്വേഡ് റീസെറ്റ്, ഗ്രൂപ്പ് അനുവദനം, MFA രജിസ്ട്രേഷൻ, കണക്ഷൻ അവകാശങ്ങൾ, ആരാണ് എപ്പോൾ കണക്ട് ചെയ്തത് എന്ന് ഉത്തരം നൽകുന്ന ഓഡിറ്റ് ട്രെയിൽ. Community Edition ഇവയൊന്നും നേരിട്ട് നൽകുന്നില്ല. നിങ്ങൾ ഒരു ഓതന്റിക്കേഷൻ ബാക്കെൻഡ് തിരഞ്ഞെടുക്കുന്നു, പ്ലഗിൻ അല്ലെങ്കിൽ auth-user-pass-verify വഴി PAM, LDAP അല്ലെങ്കിൽ RADIUS ബന്ധിപ്പിക്കുന്നു, ബാക്കിയുള്ളത് നിങ്ങൾ തന്നെ പരിപാലിക്കുന്നു. Access Server ഉപയോക്തൃ പോർട്ടലും അഡ്മിനിസ്ട്രേഷൻ കൺസോളും സാധാരണ ഐഡന്റിറ്റി ദാതാക്കളുമായുള്ള സംയോജനങ്ങളും നൽകുന്നു. രണ്ട് ക്രമീകരണങ്ങളും സ്വതവേ സുരക്ഷിതമല്ല, കാരണം നയം ഇപ്പോഴും നെറ്റ്വർക്ക് അറിയുന്ന ഒരാൾ എഴുതണം.

അവകാശങ്ങളാണ് ഏറ്റവും മൂർച്ചയുള്ള പ്രവർത്തന വ്യത്യാസം. Access Server ഒരേസമയം ഉള്ള കണക്ഷനുകളുടെ എണ്ണത്തിന് അനുസൃതമായി ലൈസൻസ് ചെയ്യപ്പെടുന്നു, ആ എണ്ണം സോഫ്റ്റ്വെയറിൽ നടപ്പാക്കുന്നു. Community Edition-ൽ ആഗോള പരിധി ഒരു max-clients വരിയാണ്, എന്നാൽ ഉപയോക്താവിനോ ഗ്രൂപ്പിനോ വേണ്ടിയുള്ള എന്തും കൂടുതൽ client-config-dir ജോലിയും നിങ്ങളുടെ സ്വന്തം നടപ്പാക്കലും അർത്ഥമാക്കുന്നു. ആ പരിപാലനത്തിൽ താൽപ്പര്യമില്ലാത്ത ടീം വാണിജ്യ ഉൽപ്പന്നത്തിന് പണം നൽകുമ്പോൾ കൃത്യമായി അതാണ് വാങ്ങുന്നത്.

ലൈസൻസിംഗും പിന്തുണയും: ആരും ബജറ്റിൽ ഇടാത്ത ഇനം

Community Edition സൗജന്യവും ഓപ്പൺ സോഴ്സുമാണ്. Access Server വാണിജ്യപരമാണ്, അതിന്റെ സൗജന്യ നില ചരിത്രപരമായി കുറച്ച് ഒരേസമയ കണക്ഷനുകൾ ഉൾക്കൊള്ളുന്നു, അതിന് മുകളിൽ പണമടച്ചുള്ള ലൈസൻസാണ്. പഴയ ഫോറം ഉത്തരത്തിൽ ഉദ്ധരിച്ച ഏത് സംഖ്യയും ഇപ്പോൾ കാലഹരണപ്പെട്ടതാണ്, അതിനാൽ പ്രോജക്ടിന്റെ ചെലവ് കണക്കാക്കുന്നതിന് മുമ്പ് വിൽപ്പനക്കാരന്റെ നിലവിലെ നിബന്ധനകൾ പരിശോധിക്കുക. സത്യസന്ധമായ താരതമ്യം കമ്മ്യൂണിറ്റി ഭാഗത്ത് ഉപയോക്തൃ മാനേജ്മെന്റും MFAയും നിരീക്ഷണവും നിർമ്മിക്കാൻ ചെലവഴിച്ച മണിക്കൂറുകൾ വാണിജ്യ ഭാഗത്തെ ലൈസൻസ് വരിയിൽ ചേർക്കുന്നു.

പിന്തുണയുടെ ഉടമസ്ഥത അതേ വിഭജനം പിന്തുടരുന്നു. Community Edition-ൽ ഓരോ വിചിത്രമായ ക്ലയന്റിനും ഓരോ കേർണൽ അപ്ഡേറ്റിനും എസ്കലേഷൻ മാർഗം നിങ്ങളാണ്. Access Server-ൽ വിളിക്കാൻ ഒരു വിൽപ്പനക്കാരനുണ്ട്, നിങ്ങളുടെ മാറ്റ വിൻഡോയ്ക്ക് യോജിച്ചാലും ഇല്ലെങ്കിലും അവരുടെ റിലീസ് താളം നിങ്ങൾ പാരമ്പര്യമായി സ്വീകരിക്കുന്നു.

കട്ട്ഓവറിന് മുമ്പ് വേണ്ട പരിശോധനകൾ

ഏത് ദിശയിലും കട്ട്ഓവറിന് മുമ്പ് പ്രവർത്തിക്കുന്ന സെർവർ യഥാർത്ഥത്തിൽ എന്താണ് സൂക്ഷിക്കുന്നതെന്ന് ഇൻവെന്ററി ചെയ്യുക. Access Server ഭാഗത്ത് ഉപയോക്തൃ പട്ടികയും ഗ്രൂപ്പ് അനുവദനങ്ങളും കയറ്റുമതി ചെയ്ത് ഏത് അക്കൗണ്ടുകളാണ് MFAയെ ആശ്രയിക്കുന്നതെന്ന് രേഖപ്പെടുത്തുക. Community Edition ഭാഗത്ത് നൽകിയ സർട്ടിഫിക്കറ്റുകൾ, CRL, client-config-dir-ന് കീഴിലുള്ള ഓരോ ഫയലും പട്ടികപ്പെടുത്തുക. രണ്ട് പട്ടികകളും വരി വരിയായി താരതമ്യം ചെയ്യുക, കാരണം അവ തമ്മിലുള്ള വ്യത്യാസമാണ് കൈമാറ്റ ജോലി.

പഴയ സേവനം ഇപ്പോഴും പ്രവർത്തിക്കുമ്പോൾ പ്രതിനിധി ക്ലയന്റുകൾ പരിശോധിക്കുക. openvpn --config client.ovpn --verb 4 മുൻഭാഗത്ത് ഹാൻഡ്ഷേക്ക്, അയച്ച റൂട്ടുകൾ, DNS ഓപ്ഷനുകൾ എന്നിവ പ്രിന്റ് ചെയ്യുന്നു, openssl x509 -in client.crt -noout -subject -enddate ക്ലയന്റ് യഥാർത്ഥത്തിൽ ഏത് സർട്ടിഫിക്കറ്റാണ് അവതരിപ്പിക്കുന്നതെന്ന് കാണിക്കുന്നു. കണക്ട് ചെയ്യുന്നെങ്കിലും ആന്തരിക ഹോസ്റ്റിൽ എത്താത്ത ക്ലയന്റിന് റൂട്ടിലോ iroute-ലോ വിടവുണ്ട്, ഓതന്റിക്കേഷൻ പരാജയമല്ല.

പകരം വയ്ക്കുന്നത് വിജയകരമായ പരിശോധനയ്ക്കൊപ്പം നിരസിക്കപ്പെട്ട പ്രവേശന പരിശോധനയും പാസാകുന്നതുവരെ പഴയ വീണ്ടെടുപ്പ് പാത ജീവനോടെ നിലനിർത്തുക. അന്തിമ മാപ്പ് ഒരു പേജിൽ എഴുതുക: ഓരോ ആവശ്യകതയും, ഇന്ന് അത് തൃപ്തിപ്പെടുത്തുന്ന കലാസൃഷ്ടിയും, പിന്നീട് തൃപ്തിപ്പെടുത്തുന്ന കലാസൃഷ്ടിയും.