OpenVPN Access Server versus Community: wat er echt meeverhuist

Profielen verhuizen mee; gebruikerslijsten blijven achter. Een team dat wisselt tussen Access Server en Community Edition loopt een uur na de overstap tegen dat gat aan, wanneer zijn eerste client authenticeert en vervolgens geen groepsbeleid, geen route per gebruiker en geen selfservice-wachtwoordreset heeft. Beide producten spreken hetzelfde protocol en accepteren dezelfde client, en juist daarom blijft het gat tijdens de planning onzichtbaar. Wat u feitelijk kiest, is de beheerslaag en de mensen die haar bezitten.

Behandel de beslissing als een inventarisvraag in plaats van een functiematrix. Vraag wie gebruikers aanmaakt, wie certificaten intrekt en wie om 02:00 de telefoon opneemt.

Waarom het .ovpn-bestand de configuratie niet meeneemt

Een .ovpn-profiel beschrijft de relatie van één client met één server: de externe host, het protocol, de CA, een clientcertificaat en -sleutel, en eventueel inline tls-crypt-materiaal. Gooi dat bestand in een nieuwe installatie en de client rondt nog steeds een handshake af, dus de migratie lijkt klaar. Niets erin somt de gebruikers, hun groepen, hun statische routes of het beleid op dat bepaalde wie überhaupt mocht verbinden. Die gegevens staan in de eigen opslag van de server, en de twee producten bewaren ze in verschillende vormen.

In Community Edition zijn de equivalenten bestanden die u zelf bijhoudt: client-config-dir-vermeldingen met opties per client zoals ifconfig-push en iroute, een CRL voor intrekkingen en de tls-crypt-sleutel. Access Server houdt dezelfde concepten in zijn eigen database en stelt ze beschikbaar via een webconsole en het commandoregeltool sacli. De concepten komen één op één overeen; de artefacten verhuizen helemaal niet.

Profielen smokkelen ook gedrag naar binnen dat niemand opmerkt tot het verandert. Een client met redirect-gateway def1 stuurt al het browsen via de server; verplaats hem naar een installatie zonder die regel en de klacht is dat het internet stuk is. Een CA-mismatch of een verkeerde remote-cert-tls-instelling faalt luid, wat de goede uitkomst is. Een ontbrekende tls-crypt-sleutel faalt als een stille time-out, wat dat niet is.

Wat de beheerslaag bezit

Tel wat geen protocol is: het aanmaken van accounts, wachtwoordreset, groepstoewijzing, MFA-inschrijving, verbindingsrechten en het auditspoor dat antwoordt wie wanneer verbond. Community Edition levert daarvan niets rechtstreeks. U kiest een authenticatiebackend, koppelt PAM, LDAP of RADIUS aan via een plug-in of auth-user-pass-verify, en onderhoudt de rest zelf. Access Server levert een gebruikersportaal, een beheerconsole en integraties met gangbare identiteitsproviders. Geen van beide opstellingen is standaard veiliger, want het beleid moet nog steeds worden geschreven door iemand die het netwerk kent.

Rechten zijn het scherpste operationele verschil. Access Server wordt gelicentieerd op basis van het aantal gelijktijdige verbindingen en dwingt dat aantal in software af. In Community Edition is een globale limiet één enkele max-clients-regel, terwijl alles per gebruiker of per groep meer client-config-dir-werk en uw eigen handhaving betekent. Een team zonder zin in dat onderhoud koopt precies dat wanneer het voor het commerciële product betaalt.

Licenties en ondersteuning: de post die niemand begroot

Community Edition is gratis en open source. Access Server is commercieel, en de gratis laag dekte historisch een klein aantal gelijktijdige verbindingen, met daarboven een betaalde licentie. Elk cijfer uit een oud forumannwoord is inmiddels verouderd, dus controleer de actuele voorwaarden van de leverancier voordat u het project begroot. De eerlijke vergelijking telt de uren voor gebruikersbeheer, MFA en monitoring aan de community-kant op bij de licentieregel aan de commerciële kant.

Eigendom van ondersteuning volgt dezelfde splitsing. Met Community Edition bent u het escalatiepad voor elke vreemde client en elke kernel-update. Met Access Server hebt u een leverancier om te bellen, en erft u het releasetempo, of dat nu bij uw wijzigingsvenster past of niet.

Controles voor de overstap

Inventariseer wat de draaiende server werkelijk bevat voordat u in beide richtingen overstapt. Aan de Access Server-kant exporteert u de gebruikerslijst en groepstoewijzingen en noteert u welke accounts op MFA vertrouwen. Aan de Community Edition-kant vermeldt u de uitgegeven certificaten, de CRL en elk bestand onder client-config-dir. Vergelijk de twee lijsten regel voor regel, want het verschil ertussen is het migratiewerk.

Test representatieve clients terwijl de oude dienst nog draait. openvpn --config client.ovpn --verb 4 op de voorgrond print de handshake, de gepushte routes en de DNS-opties, en openssl x509 -in client.crt -noout -subject -enddate laat zien welk certificaat de client werkelijk presenteert. Een client die verbindt maar geen interne host bereikt, heeft een route- of iroute-gat, geen authenticatiefout.

Houd het oude herstelpad in leven totdat de vervanging zowel een test met geweigerde toegang als een geslaagde doorstaat. Schrijf de definitieve kaart op één pagina: elke eis, het artefact dat er vandaag aan voldoet en het artefact dat er daarna aan zal voldoen.