Vi bruker OpenVPN: protokoll, motor eller app? Hva man bør spørre om i stedet

Setningen «vi bruker OpenVPN» dukker opp i saker, innkjøpsskjemaer og dokumentasjon for nye ansatte, og i hver av dem svarer den på et ulikt spørsmål. Noen ganger betegner den en trådprotokoll, noen ganger programvaren på en gateway og noen ganger appen en ny ansatt skal installere. Disse tre fakta fører til ulike neste steg, og å spørre hvilken som menes tar kortere tid enn å gjette. Resten av undersøkelsen følger av det svaret.

Begynn med å skille rollen fra merkevaren, fordi merkevaren dekker alle tre.

Navnet dekker tre roller som svikter på ulike måter

Som protokoll beskriver OpenVPN hvordan kompatible parter etablerer en tunnel og beskytter det som passerer gjennom den. Som programvare er det en implementasjon som snakker den protokollen i en klient- eller serverrolle. Som klient er det et program noen installerer, med egen versjon, eget profilformat og egne plattformquirk. En feil i én rolle betyr ikke en feil i en annen, og derfor trenger «OpenVPN er nede» et subjekt.

Spør hva den som melder kan se: en profilfil, et installert program eller en gateway vedkommende administrerer. Den ene detaljen forteller deg om neste steg er en klientlogg, et spørsmål om pakken eller en lyttersjekk på serversiden.

OpenVPN 2 og OpenVPN 3 er ikke et oppgraderingspar

OpenVPN 2.x kjører i både server- og klientrollen, og det er den de fleste gateway-utrullinger fortsatt bruker. OpenVPN 3 er en separat klientorientert implementasjon med egen konfigurasjon og sesjonsmodell, ikke neste utgivelse du installerer oppå en 2.x-server. OpenVPN Connect er et klientprogram bygget på OpenVPN 3-motoren. Å installere noen av dem lager ikke en internett-utgangstjeneste; utgangen er det operatøren har konfigurert.

Kompatibilitet på protokollnivå strekker seg ikke til profildirektiver, så en profil som importeres rent kan fortsatt feile på et direktiv klienten ikke implementerer.

Transporten er ikke programmet inni den

Den ytre forbindelsen bruker en transport som UDP eller TCP for å nå en konfigurert lytter, og alt tunnelen bærer går inni den. En nettforespørsel gjort gjennom VPN-et trenger ikke sin egen OpenVPN-lytter, og den blir ikke en OpenVPN-pakke på ledningen. I TLS-modus forhandler kontrollkanalen nøkkelmateriale mens datakanalen beskytter nyttelasten, og det er en skillet det er verdt å holde riktig når du leser logger.

Å blande lagene gir forespørsler som å åpne en port for et nettsted som allerede virker gjennom tunnelen. Porten tilhører den ytre forbindelsen, ikke programmet.

Hva en profil kan love, og hva den ikke kan

En profil forteller én klient hvordan den når én tjeneste: endepunkt, transport, identitetsmateriale og ofte noen ruting- og DNS-innstillinger. Den sier ingenting om hvem som driver den tjenesten, eller om kontoen er autorisert. Ruter, resolverinnstillinger, videresendingsregler og tilgangspolicy avgjør hva sesjonen faktisk når. En profil som importeres med hell, er begynnelsen på en fungerende forbindelse, ikke beviset for den.

Når noen spør om en ressurs kan nås over VPN-et, avhenger svaret av serverens policy og ikke av klientens konfigurasjonsfil.

Be om det som kan leveres

Gjør det brede navnet om til tre konkrete ting: klienten og versjonen dens, den autoriserte profilen for den klienten og ressursen personen trenger å nå. Med dem er levering en konkret oppgave. Uten dem er hvert svar en gjetning på hvilken OpenVPN spørsmålet mente.

Skriv svaret ned i selve forespørselen. Neste sak vil stille det samme spørsmålet på den samme tvetydige måten.