OpenVPN Access Server kontra Community: kva som faktisk flyttar

Profilar flyttar med; brukarlister blir att. Eit team som byter mellom Access Server og Community Edition møter dette gapet ein time inn i overgangen, når den første klienten autentiserer seg og deretter ikkje har gruppepolicy, ingen rute per brukar og inga sjølvbetent tilbakestilling av passord. Begge produkta snakkar same protokoll og godtek same klient, og nettopp difor blir gapet usynleg under planlegginga. Det du faktisk vel, er administrasjonslaget og menneska som eig det.

Behandle avgjerda som eit inventarspørsmål, ikkje ein funksjonstabell. Spør kven som opprettar brukarar, kven som kallar attende sertifikat, og kven som svarar på telefonen klokka 02:00.

Kvifor .ovpn-fila ikkje ber oppsettet

Ein .ovpn-profil skildrar forholdet mellom éin klient og éin tenar: fjernverten, protokollen, CA-en, eit klient sertifikat og nøkkel, og eventuelt innebygd tls-crypt-materiale. Slipp den fila inn i ein ny installasjon, og klienten fullfører likevel eit handtrykk, så migreringa ser ferdig ut. Ingenting i henne listar brukarane, gruppene deira, dei statiske rutene eller policyen som avgjorde kven som i det heile fekk kopla til. Desse oppføringane bur i tenaren sitt eige lager, og dei to produkta lagrar dei i ulike former.

I Community Edition er ekvivalentane filer du sjølv held: client-config-dir-oppføringar med val per klient som ifconfig-push og iroute, ein CRL for attkallingar og tls-crypt-nøkkelen. Access Server held dei same omgrepa i sin eigen database og eksponerer dei via ein nett konsoll og kommandolinjeverktøyet sacli. Omgrepa svarar éin til éin; artefaktane flyttar ikkje i det heile.

Profilar smuglar òg inn åtferd som ingen legg merke til før ho endrar seg. Ein klient med redirect-gateway def1 sender all surfing gjennom tenaren; flytt han til ein installasjon utan den linja, og klaga blir at internett er øydelagt. Eit CA-avvik eller ei feil remote-cert-tls-innstilling feilar høgt, som er det gode utfallet. Ein manglande tls-crypt-nøkkel feilar som ein stille tidsavbrot, som ikkje er det.

Kva administrasjonslaget eig

Tel det som ikkje er protokoll: kontooppretting, tilbakestilling av passord, gruppetildeling, MFA-registrering, tilkoplingsrettar og revisjonssporet som svarar på kven som kopla til når. Community Edition leverer ingen av desse direkte. Du vel ein autentiseringsbackend, koplar PAM, LDAP eller RADIUS inn via ein plugin eller auth-user-pass-verify, og vedlikeheld resten sjølv. Access Server leverer ein brukarportal, ein administrasjonskonsoll og integrasjonar mot vanlege identitetsleverandørar. Ingen av ordningane er sikrare som standard, fordi policyen framleis må skrivast av nokon som kjenner nettet.

Rettar er den skarpaste driftsforskjellen. Access Server blir lisensiert etter talet på samtidige tilkoplingar og handhevar det talet i programvare. I Community Edition er ei global grense éi einskild max-clients-linje, medan alt per brukar eller per gruppe betyr meir client-config-dir-arbeid og di eiga handheving. Eit team utan appetitt på den vedlikehaldet kjøper nettopp det når det betalar for det kommersielle produktet.

Lisensiering og støtte: posten ingen budsjetterer med

Community Edition er gratis og open kjeldekode. Access Server er kommersiell, og gratisnivået har historisk dekt eit lite tal samtidige tilkoplingar med ein betalt lisens over det. Kvar einaste talverdi frå eit gammalt forum-svar er utdatert no, så sjekk dei gjeldande vilkåra til leverandøren før du kostnadsreknar prosjektet. Den ærlege samanlikninga legg timane som blir brukte på å byggje brukaradministrasjon, MFA og overvaking på fellesskapssida til lisenslinja på den kommersielle sida.

Støtteeigarskap følgjer same delinga. Med Community Edition er du eskaleringsvegen for kvar merkeleg klient og kvar kjerneoppdatering. Med Access Server har du ein leverandør å ringje, og du arvar utgivingsrytmen deira, anten han passar endringsvindauget ditt eller ikkje.

Kontrollar før overgangen

Inventer kva den køyrande tenaren faktisk held før overgangen i begge retningar. På Access Server-sida eksporterer du brukarlista og gruppetildelingane og noterer kva kontoar som er avhengige av MFA. På Community Edition-sida listar du opp dei utstedte sertifikata, CRL-en og kvar fil under client-config-dir. Samanlikn dei to listene linje for linje, fordi skilnaden mellom dei er migreringsarbeidet.

Test representative klientar medan den gamle tenesta framleis køyrer. openvpn --config client.ovpn --verb 4 i forgrunnen skriv ut handtrykket, dei pusha rutene og DNS-vala, og openssl x509 -in client.crt -noout -subject -enddate viser kva sertifikat klienten faktisk presenterer. Ein klient som koplar til men ikkje når ein intern vert, har eit rute- eller iroute-gap, ikkje ein autentiseringsfeil.

Hald den gamle gjenopprettingsvegen i live til erstatninga består både ein test med avvist tilgang og ein vellukka. Skriv det endelege kartet på éi side: kvart krav, artefakten som oppfyller det i dag, og artefakten som vil oppfylle det etterpå.