SSTP vs OpenVPN: port 443 sama, protokol berbeza

Kedua-dua pilihan boleh berada di belakang TCP 443, jadi orang menganggapnya titik hujung yang boleh ditukar ganti. Ia bukan: SSTP pelayan bercakap PPP di dalam HTTPS, manakala pelayan OpenVPN bercakap protokolnya sendiri di atas TLS atau melalui aliran UDP mentah. Menghalakan satu klien ke port yang lain menghasilkan sambungan yang tidak pernah sampai ke gesaan log masuk. Pilihan ini mengenai klien dan pengangkutan yang boleh anda sokong, bukan mengenai nombornya.

Port dikongsi tidak menjadikan protokol dikongsi

Jabat tangan TLS boleh selesai dan masih tidak membawa ke mana-mana, kerana selepas itu klien dan pelayan tidak bersetuju apa yang perlu dikatakan seterusnya. Dalam tangkapan paket, anda melihat jabat tangan bersih diikuti data aplikasi yang ditolak atau diabaikan oleh pihak lain. Corak itu ialah tanda ketidakpadanan protokol, bukan sekatan tembok api.

Sama ada profil yang dinamakan semula atau entri menu yang berbeza tidak menukar satu menjadi yang lain. Sambungan SSTP dicipta daripada tetapan VPN Windows dengan alamat pelayan dan butiran pengesahan pengendali, manakala sambungan OpenVPN memerlukan klien dan fail konfigurasi yang sepadan. Spesifikasi SSTP Microsoft menerangkan yang pertama, dan tidak menerangkan jabat tangan OpenVPN.

Port 443 ialah kemudahan dasar. Ia melalui rangkaian yang hanya membenarkan sedikit perkara lain, dan itu kelebihan sebenar, tetapi ia tidak memberitahu apa-apa tentang protokol yang berjalan di belakangnya.

SSTP menyalurkan PPP di dalam HTTPS

Namanya menerangkan pembinaan: bingkai PPP dibawa di dalam sesi HTTPS, yang bermaksud TLS di bawahnya dan sijil yang boleh diperiksa oleh klien. Windows menyertakan ini sebagai jenis VPN asli, jadi komputer riba terurus selalunya boleh bersambung tanpa perisian tambahan selain profil yang disediakan oleh pengendali.

Platform lain ialah cerita lain. Klien Linux atau macOS memerlukan pelaksanaan yang diselenggara, dan ia berbeza dari segi apa yang disokong dan cara ia melaporkan ralat. Periksa klien yang benar-benar ingin anda gunakan dan jangan anggap keupayaan terbina dalam Windows akan berpindah, serta sahkan bahawa nama pelayan dalam profil sepadan dengan sijil yang dibentangkan oleh pelayan.

SSTP biasanya hanya TCP. Pengangkutan tunggal itu mempengaruhi cara ia bertindak pada pautan yang banyak kehilangan paket, kerana penghantaran semula berlaku di dalam terowong dan juga di bawahnya.

OpenVPN membawa kliennya sendiri dan pilihan pengangkutan

OpenVPN menyediakan klien dan profilnya sendiri, yang memberi anda diagnostik yang tidak ditunjukkan oleh dialog asli Windows. Pelayan boleh mendengar pada UDP atau TCP, dan konfigurasi pengendali menentukan yang mana klien anda mesti gunakan. Profil yang dihalakan ke pengangkutan yang salah gagal sebelum pengesahan.

Pengesahan juga dipacu konfigurasi. Sesuatu penggunaan boleh memerlukan sijil sahaja, sijil serta nama pengguna dan kata laluan, atau faktor kedua di atasnya, dan klien mesti sepadan tepat dengan susunan itu. Hakikat bahawa sambungan mencapai peringkat TLS tidak memberitahu bukti kelayakan apa yang akan diminta seterusnya.

UDP ialah lalai biasa kerana ia mengelakkan penyarangan aliran boleh dipercayai di dalam aliran boleh dipercayai yang lain. Mod TCP wujud untuk rangkaian yang menyekat UDP, dan ia berfungsi, tetapi kehilangan teruk boleh membuatnya terasa lebih buruk daripada laluan UDP yang digantikannya. Pilih TCP apabila perlu, bukan kerana ia kedengaran lebih boleh dipercayai.

Pilih mengikut klien, pengangkutan dan sokongan

Tiga soalan menyelesaikan kebanyakan keputusan ini. Adakah setiap peranti klien memerlukan sambungan yang berfungsi tanpa perisian tambahan? Adakah rangkaian yang anda bergantung padanya membenarkan UDP, atau TCP 443 satu-satunya jalan keluar? Dan siapa menyokong klien, kemas kini dan pemulihannya apabila profil tamat tempoh?

Apabila membandingkan kedua-duanya, uji pada peranti yang sama dan rangkaian akses yang sama. Jika titik hujung SSTP dan titik hujung OpenVPN ialah pelayan berbeza atau tapak berbeza, hasil anda merangkumi laluan dan mesin tersebut dan bukannya mengasingkan protokol. Inilah cara paling biasa perbandingan seperti ini memberikan jawapan yang yakin tetapi salah.

Kemudian sahkan yang mana sebenarnya anda telah tubuhkan sebelum nyahpepijat apa-apa lagi:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Apa pun caranya, akhiri dengan menguji sumber dan DNS yang anda perlukan dan bukannya mengisytiharkan kejayaan pada keadaan terowong. Kedua-dua protokol boleh dikonfigurasikan untuk membawa hanya trafik peribadi terpilih, dan terowong bersambung tanpa penyelesaian nama yang berfungsi kelihatan seperti VPN rosak sedangkan ia sebenarnya reka bentuk terowong berpecah atau DNS.

Dalam armada terurus, pengedaran profil dan sokongan kemas kini biasanya memutuskan soalan itu jauh sebelum mana-mana penanda aras pengangkutan.