OpenVPN эсвэл IKEv2: протокол сонгохын өмнөх дөрвөн шалгалт

OpenVPN болон IKEv2-ын хоорондох сонголтыг ихэвчлэн протоколын асуудал гэж хэлэлцдэг бөгөөд ийм хүрээ шийдвэрийг үрэгдүүлдэг. Сервер болон төхөөрөмжүүд тань ижил бүрэн профайлыг дэмжиж байгаа эсэх, тэр профайл сүлжээнүүдийн хооронд шилжих хэв маягыг даван туулж байгаа эсэх нь шийднэ. Хоёр стек бие бие рүүгээ хөрвөдөггүй: OVPN файл нь өөр синтаксистай IKEv2 профайл биш. Дараалан хийсэн дөрвөн шалгалт ямар ч онцлогийн хүснэгтээс хурдан хариулт өгнө.

Клиент байхгүй бол хэлэлцүүлэг дуусна

Windows болон macOS нь IKEv2 клиенттэй ирдэг тул тэнд IKEv2 профайлыг байрлуулахад нэмэлт зардал гарахгүй бөгөөд үйлдлийн системийн аль хэдийн санал болгож буй бэлтгэлийн сонголтуудыг өвлөн авна. Мөн машинууд дээр OpenVPN гэдэг нь суулгах, шинэчлэх, дэмжих шаардлагатай гуравдагч талын клиент бөгөөд тэр клиент профайлын ашигладаг бүх сонголтыг хүлээн авах ёстой. Бусад зүйлтэй харьцуулахын өмнө хамрах ёстой платформуудаа тоол, учир нь ажиллаж буй клиентгүй платформ бол харьцуулалтын цэг огт биш.

Windows дээр нэг команд аль хэдийн байгаа профайлуудыг жагсааж, тус бүр ямар төрөл болохыг харуулна. Түүний хэвлэсэн нэр нь дараагийн шалгалтуудын ашиглах нэр юм.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Клиент суулгахыг шаардсан мэдэгдэл нь тэдгээр платформ дээрх OpenVPN баганын бодит хариулт бөгөөд энэ нь протоколын хязгаарлалт биш, байршуулалтын ажил юм. Аль ч зохион байгуулалт итгэлцлийн шалгалт, хувь хүний баталгаажуулалт эсвэл засвар үйлчилгээг арилгахгүй. Үүрэг хүлээхийн өмнө профайлууд хэрхэн тархах, нэвтрэх мэдээлэл хэрхэн шинэчлэгдэх, алдагдсан төхөөрөмж хэрхэн хасагдахыг асуу. Энгийн суулгалт нь амралтын өдөр хэн ч ажиллуулахыг хүсэхгүй сэргээх процессыг нуух боломжтой.

Хөдөлгөөнт байдал нь хамтарсан тохиргоо, протоколын амлалт биш

IKEv2 нь хоёр тал MOBIKE-ийг дэмжиж, идэвхжүүлсэн үед ашиглаж болох бөгөөд энэ нь клиент хаяг нь өөрчлөгдөх үед туннелээ хадгалах боломжийг олгоно. RFC 4555 энэ өргөтгөлийг тодорхойлдог бөгөөд нөхцөлт хэллэг чухал: энэ чадварыг үл тоомсорлосон сервер оронд нь дахин хэлэлцээр хийнэ. Үр дүн файл дамжуулалтад ижил, шууд дуудлагад огт өөр харагдаж болно.

Танд үнэхээр чухал шилжилтийг ажиглаж болох зүйлтэй хамт шалга. Windows дээр ping -t <internal-host>-ийг ажиллуулж бай, эсвэл өөр газар энгийн ping, дараа нь Wi-Fi-аас үүрэн холбоонд шилжиж тасалдлыг ажигла. MOBIKE-ийн алдаа клиентийн бүртгэлд хаягийн чимээгүй шинэчлэл биш, бүрэн дахин баталгаажуулалт хэлбэрээр харагдана. Та туннел өөрчлөлтийг даван туулж байгаа эсэхийг хэмжиж байгаа бөгөөд протокол дэмжлэг зарлаж байгаа эсэхийг биш.

OpenVPN клиентүүд өөрийн платформын зан төлөв болон профайлын таймерын дагуу дахин холбогддог тул ижил тест өөр хэлбэрийн тасалдал үүсгэж болно. Протокол дээрх шошгыг биш, таны хэрэглэгчдэд чухал үйл явдлыг харьцуул.

Нэвтрэх мэдээлэл нь үйлчилгээнд хамаарна, стекэд биш

Гэрчилгээ болон бусад нэвтрэх зохион байгуулалт нь холболтыг дуусгадаг үйлчилгээнд хамаарна. Нэг клиент дэх нууц үгийн шаардлага нөгөөтэй нийцтэй байдлын талаар юу ч хэлэхгүй бөгөөд өөр гарцтай ажилладаг профайл энэ тухай юу ч хэлэхгүй. Хоёр стекийг харьцуулах үед серверийн таних дүрмийг хэвээр нь хадгал. Алдааг тодорхойлохын өмнө протокол солих нь ихэвчлэн хоёр дахь нийцэхгүй профайл үүсгэдэг.

Аль ч протоколыг буруутгахын өмнө клиентийн үзүүлэх нэвтрэх мэдээллийг шалга, учир нь хугацаа дууссан эсвэл буруу олгосон гэрчилгээ хоёуланд нь ижилхэн бүтэлгүйтдэг. Доорх гаралт нь хувийн түлхүүрийг уншилгүйгээр субъект, олгогч, хүчинтэй хугацааг харуулна.

openssl x509 -in client.crt -noout -subject -issuer -dates

Компанийн холболтын хувьд компани нийтэлсэн аргыг ашигла, харьцуулалтыг туршилт гэж үзэхээ болий. Хэрэв та өөрөө хоёуланг нь харьцуулж байгаа бол эхлээд хоёр сонголт нэг гарцад дуусч байгаа эсэхийг шалга, учир нь энэ нэг дэлгэрэнгүй нь таны үр дүнгийн хэдэн хэсэг протоколын тухай болохыг шийднэ. Нэвтрэх мэдээллийг нэрлэсэн татгалзал нь нэвтрэх мэдээллийн асуудал бөгөөд хичнээн протокол сольсон ч түүнийг засахгүй.

Туннель үнэндээ юуг чиглүүлж байгааг шалга

Холбогдсоны дараа шаардлагатай маршрут байгаа эсэх, нэрнүүд шийдэгдэж байгаа эсэхийг баталгаажуул. Дотоод нөөцөд зориулсан профайл энгийн хөтөлбөрийг локал замд зориуд үлдээж болох бөгөөд энэ нь гэмтэл биш, бодлогын шийдвэр юм. Танай багийн ашигладаг чиглэлүүд туннелээр хүрч болж байгаа эсэх нь чухал.

Windows дээр хоёр команд маршрут болон нэр хайлтыг хамарна. Linux дээрх эквивалентууд нь ip route show default болон resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Туннель босч, гэхдээ ямар ч ашигтай зүйлийг чиглүүлэхгүй байх нь профайлыг үйлчилгээнүүдийн хооронд хуулсан үед түгээмэл үр дүн бөгөөд ерөнхий холболтын тест интерфэйс боссон тул үүнийг харуулахгүй. Хэрэглэгчид тань хамгийн түрүүнд нээдэг нөөцийг шалга, ямар ч зам хүрч болох нийтийн хаягийг биш. Хэрэв нэр нийтийн хаяг руу шийдэгдэж, маршрут туннель дотор зааж байвал DNS-ийн хариулт болон маршрут өөр өөр шийдвэрт хамаарах бөгөөд хоёуланг нь засах хэрэгтэй.

Шалгалтын дараа засвар үйлчилгээг жинлэ

Хийсвэр утгаараа аль ч протокол нөгөөгөөсөө илүү амар засварлагдахгүй. Засвар үйлчилгээ нь гарцыг хэн ажиллуулах, профайлууд төхөөрөмжүүдэд хэрхэн хүрэх, алдагдсан төхөөрөмж хэр хурдан хандалтаа алдахаас хамаарна. Энгийн төгсгөлийн клиент нь ажиллуулахад хүнд серверийн өмнө зогсож болох бөгөөд эсрэгээр нь ч тохиолддог. Үүнийг бүтээсэн хүн явсны дараа танай баг аль хоёрыг үргэлжлүүлэн ажиллуулж чадахыг асуу.

Ажлыг хамарсан дэмжигдсэн холболтыг сонго, дараа нь түүнийг онцлогийн жагсаалттай биш, үнэхээр шаардлагатай хандалттай харьцуулан шалга. Сонголт бүр аль гарцад дуусахыг бүртгэ, учир нь хоёр өөр гарц харьцуулалтыг протоколын адил маршрутын тухай болгоно. Дөрвөн шалгалтыг үнэхээр авч явах төхөөрөмж дээр давтаж, түүн дээр тэнцсэн профайлыг үлдээ.