OpenVPN atau IKEv2: empat semakan sebelum memilih protokol

Pilihan antara OpenVPN dan IKEv2 biasanya dibahaskan sebagai persoalan protokol, dan rangka kerja itu membazirkan keputusan. Yang menentukan ialah sama ada pelayan dan peranti anda menyokong profil lengkap yang sama, dan sama ada profil itu bertahan dengan cara anda bergerak antara rangkaian. Kedua-dua tindanan tidak saling menterjemah: fail OVPN bukan profil IKEv2 dengan sintaks yang berbeza. Empat semakan, dijalankan mengikut urutan, menjawab soalan itu lebih pantas daripada mana-mana jadual ciri.

Klien yang tiada menamatkan perbincangan

Windows dan macOS disertakan dengan klien IKEv2, jadi profil IKEv2 tidak menambah kos untuk digunakan di sana dan mewarisi pilihan penyediaan yang sudah didedahkan oleh sistem pengendalian. OpenVPN pada mesin yang sama bermakna klien pihak ketiga untuk dipasang, dikemas kini dan disokong, dan klien itu mesti menerima setiap pilihan yang digunakan oleh profil. Kira platform yang perlu anda liputi sebelum membandingkan apa-apa lagi, kerana platform tanpa klien yang berfungsi bukanlah titik perbandingan sama sekali.

Di Windows, satu arahan menyenaraikan profil yang sudah wujud dan menunjukkan jenis setiap satu. Nama yang dicetaknya ialah nama yang digunakan oleh semakan kemudian.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Gesaan untuk memasang klien ialah jawapan sebenar bagi lajur OpenVPN pada platform tersebut, dan ia adalah tugas penggunaan, bukan had protokol. Tiada susunan yang menghapuskan semakan kepercayaan, pengesahan identiti atau penyelenggaraan. Tanya bagaimana profil diedarkan, bagaimana kelayakan diperbaharui dan bagaimana peranti yang hilang dialihkan sebelum anda komited. Pemasangan mudah masih boleh menyembunyikan proses pemulihan yang tiada siapa mahu jalankan pada hujung minggu.

Mobiliti ialah tetapan bersama, bukan janji protokol

IKEv2 boleh menggunakan MOBIKE apabila kedua-dua hujung menyokong dan mengaktifkannya, yang membolehkan klien mengekalkan terowongnya semasa alamatnya berubah. RFC 4555 mentakrifkan sambungan itu, dan perkataan bersyarat itu penting: pelayan yang mengabaikan keupayaan itu berunding semula sebaliknya. Hasilnya mungkin kelihatan sama untuk pemindahan fail dan sangat berbeza untuk panggilan langsung.

Uji peralihan yang benar-benar anda pedulikan, dengan sesuatu yang berjalan yang boleh anda perhatikan. Biarkan ping -t <internal-host> berjalan di Windows, atau ping biasa di tempat lain, kemudian tukar daripada Wi-Fi ke selular dan perhatikan jurang. Kegagalan MOBIKE muncul sebagai pengesahan semula penuh dalam log klien, bukan kemas kini alamat yang senyap. Yang anda ukur ialah sama ada terowong itu bertahan dengan perubahan, bukan sama ada protokol itu mengiklankan sokongan.

Klien OpenVPN menyambung semula mengikut tingkah laku platform mereka sendiri dan pemasa profil, jadi ujian yang sama boleh menghasilkan bentuk gangguan yang berbeza. Bandingkan peristiwa yang penting kepada pengguna anda, bukan label pada protokol itu.

Kelayakan milik perkhidmatan, bukan tindanan

Sijil dan susunan log masuk lain milik perkhidmatan yang menamatkan sambungan. Gesaan kata laluan dalam satu klien tidak mengatakan apa-apa tentang keserasian dengan yang lain, dan profil yang berfungsi dengan get laluan lain tidak mengatakan apa-apa tentang yang ini. Kekalkan peraturan identiti pelayan semasa membandingkan kedua-dua tindanan. Menukar protokol sebelum mengenal pasti kegagalan biasanya menghasilkan profil kedua yang tidak serasi.

Periksa kelayakan yang akan dikemukakan oleh klien sebelum menyalahkan mana-mana protokol, kerana sijil yang tamat tempoh atau salah dikeluarkan gagal dengan cara yang sama pada kedua-duanya. Output di bawah menunjukkan subjek, pengeluar dan tarikh sah tanpa membaca kunci peribadi.

openssl x509 -in client.crt -noout -subject -issuer -dates

Untuk sambungan syarikat, gunakan kaedah yang diterbitkan oleh syarikat dan berhenti menganggap perbandingan itu sebagai eksperimen. Jika anda membandingkan kedua-duanya sendiri, semak dahulu sama ada kedua-dua pilihan berakhir pada satu get laluan, kerana butiran tunggal itu menentukan berapa banyak hasil anda tentang protokol. Penolakan yang menamakan kelayakan ialah masalah kelayakan, dan berapa banyak pun protokol ditukar tidak akan membaikinya.

Periksa apa yang sebenarnya dilalui oleh terowong

Selepas bersambung, pastikan laluan yang anda perlukan wujud dan nama diselesaikan. Profil yang wujud untuk sumber dalaman mungkin sengaja membiarkan pelayaran biasa di laluan setempat, dan itu keputusan dasar, bukan kerosakan. Yang penting ialah sama ada destinasi yang digunakan oleh pasukan anda boleh dicapai melalui terowong.

Di Windows dua arahan meliputi laluan dan carian nama. Setara Linux ialah ip route show default dan resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Terowong yang naik tetapi tidak menghala apa-apa yang berguna ialah hasil biasa apabila profil disalin antara perkhidmatan, dan ujian ketersambungan umum tidak akan menunjukkannya kerana antara muka berada di atas. Uji sumber yang pertama dibuka oleh pengguna anda, bukan alamat awam yang boleh dicapai oleh mana-mana laluan. Jika nama diselesaikan kepada alamat awam sementara laluan menunjuk ke dalam terowong, jawapan DNS dan laluan itu milik keputusan yang berbeza dan kedua-duanya perlu diperbaiki.

Timbang penyelenggaraan selepas semakan

Tiada protokol yang lebih mudah diselenggara secara abstrak. Penyelenggaraan bergantung pada siapa yang mengendalikan get laluan, bagaimana profil sampai ke peranti dan berapa cepat peranti yang hilang kehilangan akses. Klien titik akhir yang mudah boleh berada di hadapan pelayan yang lebih sukar dikendalikan, dan sebaliknya juga berlaku. Tanya yang mana antara kedua-duanya yang pasukan anda boleh terus kendalikan selepas orang yang membinanya pergi.

Pilih sambungan yang disokong yang meliputi kerja itu, kemudian uji terhadap akses yang benar-benar anda perlukan, bukan terhadap senarai ciri. Catat get laluan tempat setiap pilihan berakhir, kerana dua get laluan berbeza menjadikan perbandingan itu sama banyak tentang laluan seperti tentang protokol. Ulang empat semakan pada peranti yang benar-benar akan anda bawa, dan kekalkan profil yang lulus padanya.