OpenVPN Access Server ба Community: үнэхээр юу шилждэг

Профайлууд шилждэг; хэрэглэгчийн жагсаалт хоцордог. Access Server болон Community Edition-ийн хооронд шилжиж буй баг шилжилтийн нэг цагийн дараа тэр зөрүүтэй тулгардаг: түүний эхний клиент баталгаажиж, дараа нь бүлгийн бодлого, хэрэглэгчийн маршрут, өөртөө үйлчлэх нууц үг шинэчлэлт байхгүй болдог. Хоёр бүтээгдэхүүн ижил протоколоор ярьж, ижил клиентийг хүлээн авдаг тул төлөвлөлтийн үед энэ зөрүү үл үзэгдэх болдог. Та үнэндээ удирдлагын давхарга болон түүнийг эзэмшигч хүмүүсийг сонгож байна.

Шийдвэрийг боломжуудын хүснэгт биш, тооллогооны асуулт гэж үзээрэй. Хэн хэрэглэгч үүсгэдэг, хэн сертификат цуцалдаг, 02:00 цагт хэн утас авахыг асуугаарай.

Яагаад .ovpn файл тохиргоог агуулдаггүй вэ

.ovpn профайл нь нэг клиентийн нэг сервертэй харилцааг тодорхойлдог: алсын хост, протокол, CA, клиентийн сертификат ба түлхүүр, мөн ямар ч дотор tls-crypt материал. Тэр файлыг шинэ суулгалтад хий, клиент ямар ч байсан гар барилтыг дуусгана, тиймээс шилжилт дууссан мэт харагдана. Үүнд хэрэглэгчид, тэдний бүлгүүд, статик маршрутууд эсвэл хэнд ер нь холбогдохыг зөвшөөрсөн бодлогыг жагсаагаагүй. Тэдгээр бичлэг серверийн өөрийн санд амьдардаг бөгөөд хоёр бүтээгдэхүүн тэдгээрийг өөр өөр хэлбэрээр хадгалдаг.

Community Edition-д эквивалентууд нь таны хадгалдаг файлууд: клиент бүрийн ifconfig-push ба iroute зэрэг сонголт агуулсан client-config-dir бичлэгүүд, цуцлалтад зориулсан CRL, tls-crypt түлхүүр. Access Server ижил ойлголтуудыг өөрийн мэдээллийн санд хадгалж, вэб консол болон sacli командын мөрийн хэрэгслээр ил гаргадаг. Ойлголтууд нэг нэгэндээ тохирно; артефактууд огт хөдөлдөггүй.

Профайлууд өөрчлөгдөх хүртэл хэн ч анзаардаггүй зан үйлийг мөн далдлан оруулдаг. redirect-gateway def1 бүхий клиент бүх вэб үзлтийг серверээр дамжуулдаг; түүнийг тэр мөргүй суулгалт руу зөөвөл интернэт эвдэрсэн гэсэн гомдол гарна. CA тохирохгүй байх эсвэл буруу remote-cert-tls тохиргоо чанга дуугаар бүтэлгүйтдэг, энэ нь сайн үр дүн. Дутуу tls-crypt түлхүүр чимээгүй таймаут хэлбэрээр бүтэлгүйтдэг, энэ нь сайн биш.

Удирдлагын давхарга юуг эзэмшдэг

Протокол биш зүйлийг тоол: бүртгэл үүсгэх, нууц үг шинэчлэх, бүлэгт оноох, MFA бүртгэл, холболтын эрх, хэн хэзээ холбогдсоныг хариулах аудитын мөр. Community Edition эдгээрийн аль нэгийг ч шууд өгдөггүй. Та нэвтрүүлэлтийн бэкенд сонгож, залгаас эсвэл auth-user-pass-verify-аар PAM, LDAP эсвэл RADIUS холбож, үлдсэнийг нь өөрөө арчилна. Access Server хэрэглэгчийн портал, администрацийн консол, нийтлэг таних тэмдгийн нийлүүлэгчтэй интеграцийг нийлүүлдэг. Аль ч зохион байгуулалт анхдагчаар илүү аюулгүй биш, учир нь бодлогыг сүлжээг мэддэг хэн нэгэн бичих ёстой.

Эрхүүд хамгийн хурц үйл ажиллагааны ялгаа юм. Access Server нэгэн зэрэг холболтын тоогоор лицензлэгдэж, тэр тоог программ хангамжаар хэрэгжүүлдэг. Community Edition-д глобал хязгаар нь нэг max-clients мөр, харин хэрэглэгч эсвэл бүлэг тус бүрээр ямар ч зүйл илүү их client-config-dir ажил, өөрийн хэрэгжүүлэлтийг илэрхийлнэ. Тэр арчилгаанд дургүй баг арилжааны бүтээгдэхүүнд төлөхдөө яг үүнийг худалдаж авдаг.

Лиценз ба дэмжлэг: хэн ч төсөвлөдөггүй мөр

Community Edition үнэгүй бөгөөд нээлттэй эх сурвалж. Access Server арилжааны бөгөөд түүний үнэгүй түвшин түүхэнд цөөн тооны нэгэн зэрэг холболтыг хамарч, түүнээс дээш төлбөртэй лицензтэй. Хуучин форумын хариултад дурдсан ямар ч тоо одоо хуучирсан тул төслийн өртөгийг тооцохоос өмнө борлуулагчийн одоогийн нөхцөлийг шалгаарай. Шударга харьцуулалт нь нийгэмлэгийн талд хэрэглэгчийн удирдлага, MFA, хяналт байгуулахад зарцуулсан цагийг арилжааны талын лицензийн мөрөнд нэмдэг.

Дэмжлэгийн эзэмшил ижил хуваалтыг дагадаг. Community Edition-тэй бол та хачин клиент бүр, цөм шинэчлэлт бүрийн эскалацийн зам нь та өөрөө. Access Server-тэй бол залгах борлуулагч байгаа бөгөөд таны өөрчлөлтийн цонхонд тохирсон эсэхээс үл хамааран түүний хувилбарын хэмнэлийг өвлөнө.

Шилжилтийн өмнөх шалгалтууд

Аль ч чиглэлд шилжихээс өмнө ажиллаж буй сервер үнэхээр юу хадгалдагийг тооллого хийнэ үү. Access Server талд хэрэглэгчийн жагсаалт, бүлгийн оноолтыг экспортолж, аль бүртгэл MFA-д тулгуурладаг талаар тэмдэглэнэ. Community Edition талд олгосон сертификат, CRL болон client-config-dir доорх файл бүрийг жагсаана. Хоёр жагсаалтыг мөр мөрөөр нь харьцуулна, учир нь тэдгээрийн ялгаа нь шилжилтийн ажил юм.

Хуучин үйлчилгээ ажиллаж байх үед төлөөлөгч клиентүүдийг туршина. openvpn --config client.ovpn --verb 4 урд талд гар барилт, илгээсэн маршрут, DNS сонголтыг хэвлэнэ, openssl x509 -in client.crt -noout -subject -enddate клиент үнэхээр аль сертификатыг танилцуулж байгааг харуулна. Холбогддог ч дотоод хостод хүрч чадахгүй клиент нь нэвтрүүлэлтийн алдаа биш, маршрут эсвэл iroute-ийн зөрүүтэй байна.

Хуучин сэргээх замыг орлуулагч амжилттай тесттэй зэрэгцэн татгалзсан нэвтрэлтийн тестийг давтал хүртэл амьд байлгаарай. Эцсийн зураглалыг нэг хуудсанд бичээрэй: шаардлага бүр, түүнийг өнөөдөр хангаж буй артефакт, дараа нь хангах артефакт.