SSTP mot OpenVPN: same port 443, annan protokoll

Begge alternativa kan liggje bak TCP 443, så folk trur at dei er utskiftbare endepunkt. Det er dei ikkje: SSTP tenar snakkar PPP inne i HTTPS, medan ein OpenVPN-tenar snakkar sin eigen protokoll over TLS eller ein rå UDP-straum. Å peike éin klient mot porten til den andre gjev ei tilkopling som aldri når ei innloggingsmelding. Valet handlar om kva klient og transport du kan støtte, ikkje om nummeret.

Ein delt port gjev ikkje ein delt protokoll

TLS-handtrykket kan fullførast og likevel ikkje føre nokon stad, fordi klienten og tenaren etterpå er usamde om kva som skal seiast neste gong. I eit pakkeopptak ser du eit reint handtrykk etterfølgt av applikasjonsdata som motparten avviser eller ignorerer. Det mønsteret er signaturen på eit protokoll-avvik og ikkje ei blokkering frå brannmuren.

Korkje ein omdøypt profil eller eit anna menyelement gjer den eine om til den andre. Ei SSTP-tilkopling vert oppretta frå Windows sine VPN-innstillingar med ei tenaradresse og påloggingsdetaljane til operatøren, medan ei OpenVPN-tilkopling treng klienten og den tilhøyrande konfigurasjonsfila. Microsoft sin SSTP-spesifikasjon skildrar det første og skildrar ikkje eit OpenVPN-handtrykk.

Port 443 er ei praktisk tilrettelegging i politikken. Han slepp gjennom nettverk som tillèt lite anna, og det er ein reell føremon, men han seier ingenting om kva protokoll som køyrer bak han.

SSTP tunnelerer PPP inne i HTTPS

Namnet skildrar konstruksjonen: PPP-rammer som vert borne inne i ei HTTPS-økt, altså TLS under og eit sertifikat klienten kan kontrollere. Windows inkluderer dette som ein innebygd VPN-type, så ein administrert berbar maskin kan ofte kople til utan ekstra programvare utover profilen operatøren leverer.

Andre plattformer er ei anna historie. Ein Linux- eller macOS-klient treng ein vedlikehalden implementasjon, og dei varierer i kva dei støttar og korleis dei rapporterer feil. Kontroller klienten du faktisk har tenkt å bruke i staden for å tru at Windows si innebygde evne vert overført, og stadfest at tenarnamnet i profilen samsvarar med sertifikatet tenaren legg fram.

SSTP er vanlegvis berre TCP. Den eine transporten påverkar korleis han oppfører seg på ei lenkje med tap, fordi videresending skjer både inne i tunnelen og under han.

OpenVPN har sin eigen klient og eit transportval

OpenVPN leverer sin eigen klient og profil, noko som gjev deg diagnostikk som ein innebygd Windows-dialog ikkje viser. Tenaren kan lytte på UDP eller TCP, og konfigurasjonen til operatøren avgjer kva klienten din må bruke. Ein profil retta mot feil transport feilar før autentiseringa.

Autentisering er like mykje driven av konfigurasjon. Ei utrulling kan krevje berre sertifikat, sertifikat pluss eit brukarnamn og passord, eller ein annan faktor på toppen, og klienten må samsvare nøyaktig med den ordninga. At ei tilkopling når TLS-trinnet, seier ikkje kva påloggingsdetaljar ho vil be om neste gong.

UDP er standardvalet fordi det unngår å pakke ein påliteleg straum inn i ein annan påliteleg straum. TCP-modus finst for nettverk som blokkerer UDP, og han verkar, men store tap kan få han til å kjennast verre enn UDP-vegen han erstatta. Vel TCP når du må, ikkje fordi det høyrest meir påliteleg ut.

Vel etter klient, transport og støtte

Tre spørsmål avgjer dei fleste av desse avgjerdene. Treng kvar klienteining ei tilkopling som verkar utan ekstra programvare? Tillèt nettverket du er avhengig av UDP, eller er TCP 443 den einaste utgangen? Og kven støttar klienten, oppdateringane og attopprettinga når ein profil går ut?

Når du samanliknar dei to, test på same eining og same aksessnettverk. Viss SSTP-endepunktet og OpenVPN-endepunktet er ulike tenarar eller ulike stader, inneheld resultatet ditt desse rutene og maskinene i staden for å isolere protokollen. Det er den vanlegaste måten slike samanlikningar gjev eit sjølvsikkert men feil svar.

Stadfest deretter kva du faktisk etablerte før du feilsøkjer noko anna:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Uansett, avslutt med å teste ressursen og DNS-en du treng i staden for å erklære suksess ved tilstanden til tunnelen. Begge protokollane kan konfigurerast til å bere berre utvald privat trafikk, og ein tilkopla tunnel utan fungerande namneoppslag ser ut som ein øydelagd VPN når det eigentleg er eit split-tunnel- eller DNS-design.

I ein administrert flåte avgjer profildistribusjon og oppdateringsstøtte spørsmålet vanlegvis lenge før noka transportmåling.