Vi brukar OpenVPN: protokoll, motor eller app? Kva ein bør spørje om i staden

Setninga «vi brukar OpenVPN» dukkar opp i saker, innkjøpsskjema og dokumentasjon for nye tilsette, og i kvar av dei svarar ho på eit ulikt spørsmål. Nokre gonger nemner ho ein trådprotokoll, nokre gonger programvara på ein gateway og nokre gonger appen ein ny tilsett skal installere. Desse tre fakta fører til ulike neste steg, og å spørje kva som er meint tek kortare tid enn å gjette. Resten av granskinga følgjer av det svaret.

Byrj med å skilje rolla frå merkevara, fordi merkevara dekkjer alle tre.

Namnet dekkjer tre roller som sviktar på ulike måtar

Som protokoll skildrar OpenVPN korleis kompatible partar etablerer ein tunnel og vernar det som går gjennom han. Som programvare er det ein implementasjon som snakkar den protokollen i ei klient- eller serverrolle. Som klient er det eit program nokon installerer, med eigen versjon, eige profilformat og eigne plattformsæreigenheiter. Ein feil i éi rolle tyder ikkje ein feil i ei anna, og difor treng «OpenVPN er nede» eit subjekt.

Spør kva den som melder kan sjå: ei profilfil, eit installert program eller ein gateway vedkomande administrerer. Den eine detaljen fortel deg om neste steg er ein klientlogg, eit spørsmål om pakken eller ein lyttarsjekk på serversida.

OpenVPN 2 og OpenVPN 3 er ikkje eit oppgraderingspar

OpenVPN 2.x køyrer i både server- og klientrolla, og det er den dei fleste gateway-utrullingar framleis brukar. OpenVPN 3 er ein separat klientorientert implementasjon med eigen konfigurasjon og sesjonsmodell, ikkje neste utgåve du installerer oppå ein 2.x-server. OpenVPN Connect er eit klientprogram bygd på OpenVPN 3-motoren. Å installere nokon av dei lagar ikkje ei internett-utgangsteneste; utgangen er det operatøren har konfigurert.

Kompatibilitet på protokollnivå strekkjer seg ikkje til profildirektiv, så ein profil som blir importert reint kan framleis feile på eit direktiv klienten ikkje implementerer.

Transporten er ikkje programmet inni han

Den ytre sambindinga brukar ein transport som UDP eller TCP for å nå ein konfigurert lyttar, og alt tunnelen ber går inni henne. Ein nettførespurnad gjort gjennom VPN-et treng ikkje sin eigen OpenVPN-lyttar, og han blir ikkje ein OpenVPN-pakke på leidninga. I TLS-modus forhandlar kontrollkanalen nøkkelmateriale medan datakanalen vernar nyttelasta, og det er eit skilje det er verdt å halde rett når du les loggar.

Å blande laga gir førespurnader som å opne ein port for ein nettstad som allereie virkar gjennom tunnelen. Porten høyrer til den ytre sambindinga, ikkje programmet.

Kva ein profil kan love, og kva han ikkje kan

Ein profil fortel éin klient korleis han når éi teneste: endepunkt, transport, identitetsmateriale og ofte nokre ruting- og DNS-innstillingar. Han seier ingenting om kven som driv den tenesta, eller om kontoen er autorisert. Ruter, resolverinnstillingar, vidaresendingsreglar og tilgangspolicy avgjer kva sesjonen faktisk når. Ein profil som blir importert med hell, er byrjinga på ei fungerande sambinding, ikkje provet på henne.

Når nokon spør om ein ressurs kan nåast over VPN-et, avheng svaret av policyen til serveren og ikkje av konfigurasjonsfila til klienten.

Be om det som kan leverast

Gjer det breie namnet om til tre konkrete ting: klienten og versjonen hans, den autoriserte profilen for den klienten og ressursen personen treng å nå. Med dei er levering ei konkret oppgåve. Utan dei er kvart svar ei gjetting på kva OpenVPN spørsmålet meinte.

Skriv svaret ned i sjølve førespurnaden. Neste sak vil stille det same spørsmålet på den same tvitydige måten.