OpenVPN Access Server lwn Community: apa yang sebenarnya berpindah

Profil berpindah; senarai pengguna tertinggal. Pasukan yang beralih antara Access Server dan Community Edition menemui jurang itu sejam selepas peralihan, apabila klien pertamanya mengesahkan identiti dan kemudian tidak mempunyai dasar kumpulan, tiada laluan setiap pengguna dan tiada tetapan semula kata laluan layan diri. Kedua-dua produk bertutur protokol yang sama dan menerima klien yang sama, dan itulah sebabnya jurang itu kekal tidak kelihatan semasa perancangan. Apa yang sebenarnya anda pilih ialah lapisan pengurusan dan orang yang memilikinya.

Anggap keputusan itu sebagai soalan inventori, bukan jadual ciri. Tanya siapa mencipta pengguna, siapa membatalkan sijil dan siapa menjawab panggilan pada 02:00.

Mengapa fail .ovpn tidak membawa konfigurasi

Profil .ovpn menerangkan hubungan satu klien dengan satu pelayan: hos jauh, protokol, CA, sijil dan kunci klien, serta sebarang bahan tls-crypt dalam talian. Lepaskan fail itu ke dalam binaan baharu dan klien masih melengkapkan jabat tangan, jadi migrasi kelihatan selesai. Tiada apa di dalamnya menyenaraikan pengguna, kumpulan mereka, laluan statik mereka atau dasar yang menentukan siapa yang dibenarkan menyambung. Rekod itu hidup dalam storan pelayan itu sendiri, dan kedua-dua produk menyimpannya dalam bentuk berbeza.

Dalam Community Edition, yang setara ialah fail yang anda simpan sendiri: entri client-config-dir dengan pilihan setiap klien seperti ifconfig-push dan iroute, CRL untuk pembatalan dan kunci tls-crypt. Access Server menyimpan konsep yang sama dalam pangkalan datanya sendiri dan mendedahkannya melalui konsol web dan alat baris arahan sacli. Konsepnya sepadan satu dengan satu; artifak tidak bergerak sama sekali.

Profil juga menyeludup tingkah laku yang tiada siapa perasan sehingga ia berubah. Klien dengan redirect-gateway def1 menghantar semua pelayaran melalui pelayan; pindahkan ke binaan tanpa baris itu dan aduannya ialah internet rosak. Ketidakpadanan CA atau tetapan remote-cert-tls yang salah gagal dengan kuat, dan itulah hasil yang baik. Kunci tls-crypt yang hilang gagal sebagai tamat masa senyap, dan itu bukan hasil yang baik.

Apa yang dimiliki lapisan pengurusan

Kira apa yang bukan protokol: penciptaan akaun, tetapan semula kata laluan, penugasan kumpulan, pendaftaran MFA, hak sambungan dan jejak audit yang menjawab siapa menyambung bila. Community Edition tidak menyediakan satu pun secara langsung. Anda memilih backend pengesahan, menyambungkan PAM, LDAP atau RADIUS melalui pemalam atau auth-user-pass-verify, dan menyelenggara selebihnya sendiri. Access Server menyediakan portal pengguna, konsol pentadbiran dan integrasi dengan pembekal identiti biasa. Kedua-dua susunan tidak lebih selamat secara lalai, kerana dasar itu masih perlu ditulis oleh seseorang yang mengenali rangkaian.

Hak sambungan ialah perbezaan operasi yang paling tajam. Access Server dilesenkan mengikut bilangan sambungan serentak dan menguatkuasakan bilangan itu dalam perisian. Dalam Community Edition, had global ialah satu baris max-clients, manakala apa-apa setiap pengguna atau setiap kumpulan bermakna lebih banyak kerja client-config-dir dan penguatkuasaan anda sendiri. Pasukan yang tidak berminat dengan penyelenggaraan itu membeli tepat-tepat itu apabila membayar produk komersial.

Pelesenan dan sokongan: item yang tiada siapa anggarkan

Community Edition percuma dan sumber terbuka. Access Server komersial, dan peringkat percumanya secara sejarah meliputi sedikit sambungan serentak dengan lesen berbayar di atasnya. Sebarang angka yang dipetik dalam jawapan forum lama kini lapuk, jadi semak terma semasa vendor sebelum mengira kos projek. Perbandingan jujur menambah jam yang diluangkan membina pengurusan pengguna, MFA dan pemantauan di pihak komuniti kepada baris lesen di pihak komersial.

Pemilikan sokongan mengikut pembahagian yang sama. Dengan Community Edition, anda ialah laluan eskalasi untuk setiap klien pelik dan setiap kemas kini kernel. Dengan Access Server, anda mempunyai vendor untuk dihubungi, dan anda mewarisi rentak keluarannya, sama ada sesuai dengan tetingkap perubahan anda atau tidak.

Pemeriksaan sebelum peralihan

Inventori apa yang sebenarnya dipegang pelayan yang berjalan sebelum peralihan ke mana-mana arah. Di pihak Access Server, eksport senarai pengguna dan penugasan kumpulan serta catat akaun mana yang bergantung pada MFA. Di pihak Community Edition, senaraikan sijil yang dikeluarkan, CRL dan setiap fail di bawah client-config-dir. Bandingkan kedua-dua senarai baris demi baris, kerana perbezaan antaranya ialah kerja migrasi.

Uji klien wakil semasa perkhidmatan lama masih berjalan. openvpn --config client.ovpn --verb 4 di latar hadapan mencetak jabat tangan, laluan yang dihantar dan pilihan DNS, dan openssl x509 -in client.crt -noout -subject -enddate menunjukkan sijil mana yang benar-benar dikemukakan oleh klien. Klien yang bersambung tetapi tidak dapat mencapai hos dalaman mempunyai jurang laluan atau iroute, bukan kegagalan pengesahan.

Kekalkan laluan pemulihan lama hidup sehingga pengganti lulus ujian akses ditolak serta ujian yang berjaya. Tulis peta akhir pada satu halaman: setiap keperluan, artifak yang memenuhinya hari ini dan artifak yang akan memenuhinya selepas itu.