Innkommende VPN i Windows eller en OpenVPN-vert: velg på fem minutter

Windows kan ta imot en VPN-tilkobling uten at noe annet enn operativsystemet er installert, og det hjelper virkelig når to maskiner du eier trenger en tunnel for en ettermiddag. Den forblir nyttig omtrent så lenge. Den innebygde lytteren har en fast protokollmeny, ingen policy per klient og en avhengighet av en stasjonær maskin som noen kan lukke. Valget mellom den, et ruterendepunkt og en OpenVPN-vert kommer ned til tre betingelser og ikke til preferanse.

Hva den innebygde lytteren egentlig er

Veiviseren for innkommende tilkobling gjør en arbeidsstasjon om til et lite endepunkt for fjernaksess. Du velger hvilke lokale kontoer som kan ringe inn, hvordan adresser deles ut og hvilken protokoll som er slått på: PPTP, samt L2TP/IPsec eller SSTP der utgaven og sertifikatarbeidet støtter dem.

Det den ikke er, er et policylag. Det finnes ingen rutetildeling per bruker, ingen serverskapt delt tunnel og ingen atskillelse mellom tunnelen og arbeidsstasjonens egen nettverksidentitet. En klient som kobler til, lander på samme segment som arbeidsstasjonen, under den segmentets brannmurregler.

Nettopp det siste punktet er det som må veies. Arbeidsstasjonens egne porter, delinger og nettleser er nå tilgjengelige for alle som har kontoen, og kontoen er en lokal Windows-konto med alt annet den allerede kan.

Tre betingelser som avgjør

Spør hvor lenge tilgangen må vare, hvor mange som trenger den, og om nettverket i det hele tatt kan levere protokollen.

Hvis svaret er én maskin, én person og noen timer på et nettverk der du kontrollerer ruteren, er den innebygde lytteren proporsjonal. Hvis tilgangen må overleve omstarter i en måned, betjene fem kolleger med separate påloggingsdetaljer eller virke fra et mobilnett som ikke kan ta imot innkommende tilkoblinger, er den det ikke. Hvis protokollen krever IP-protokoll 47 i stedet for en port, kan nettverket nekte å levere den, uansett hva Windows støtter.

Disse tre svarene fjerner det meste av diskusjonen i én omgang. Resten er implementasjonsdetaljer.

Hvor et ruterendepunkt vinner

En tunnel som avsluttes på ruteren, er det naturlige valget for permanent tilgang. Ruteren er allerede alltid på, den kan bære en tunnel mellom steder til et annet kontor, og klienter trenger ingenting installert hvis ruteren tilbyr protokollen de bruker.

Begrensningen er fastvaren. Forbrukerrutere støtter ofte bare en delmengde av det spesifikasjonen tillater, og en modell som reklamerer med VPN-støtte, har kanskje ikke akkurat den du hadde planlagt. Sjekk funksjonslisten til den installerte fastvaren, ikke til produktfamilien.

Hvor en OpenVPN-vert vinner

En OpenVPN-server på en liten maskin som alltid er på, passer for blandede klienter, flere brukere med separate påloggingsdetaljer og nettverk der én utovervennlig port er forskjellen mellom å virke og å bli blokkert. Den utsteder en profil per klient, kjører på alle store plattformer og oppfører seg fra klientens side som en vanlig utgående applikasjon.

Den krever også en eier. Noen må fornye sertifikater, legge inn vertsoppdateringer og lese loggen når en klient ikke får koblet til. Uten den personen forfaller et selvhostet endepunkt stille til den dagen det betyr noe.

Sjekk veien før du lover tilgang

Den vanligste grunnen til at en Windows-lytter feiler, er ikke autentisering. Det er veien: PPTP trenger innkommende TCP 1723 og GRE, som er protokoll 47 og ikke en port, og mange rutere videresender bare porter. Noen aksessnett tillater ikke innkommende tilkoblinger i det hele tatt. Det ene faktumet utelukker den innebygde lytteren på flere nettverk enn noen Windows-innstilling gjør.

Test veien før du konfigurerer kontoer, slik at en feil har én kandidat i stedet for tre:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

En lukket port på første linje er et videresendings- eller leverandørproblem, ikke et Windows-problem. Den tredje linjen er kontrollen du ville kjørt etter å ha valgt OpenVPN, der én lyttende UDP-port erstatter hele protokollspørsmålet.

Uansett hvilket alternativ du velger, ikke la PPTP vende mot internett som en langsiktig løsning; autentiseringen og krypteringen er utdatert. Og hvis det egentlige behovet er én webapplikasjon, er en omvendt proxy et mindre svar enn noen VPN.