OpenVPN Access Server kontra Community: hva som faktisk flyttes

Profiler flytter med; brukerlister blir igjen. Et team som bytter mellom Access Server og Community Edition møter det gapet en time inn i overgangen, når den første klienten autentiserer seg og deretter ikke har gruppepolicy, ingen rute per bruker og ingen selvbetjent tilbakestilling av passord. Begge produktene snakker samme protokoll og godtar samme klient, og nettopp derfor forblir gapet usynlig under planleggingen. Det du faktisk velger, er administrasjonslaget og menneskene som eier det.

Behandle beslutningen som et inventarspørsmål, ikke en funksjonstabell. Spør hvem som oppretter brukere, hvem som tilbakekaller sertifikater, og hvem som svarer på telefonen klokken 02:00.

Hvorfor .ovpn-filen ikke bærer oppsettet

En .ovpn-profil beskriver én klients forhold til én server: fjernverten, protokollen, CA-en, et klient sertifikat og nøkkel, og eventuelt innebygd tls-crypt-materiale. Slipp den filen inn i en ny installasjon, og klienten fullfører likevel en håndtrykk, så migreringen ser ferdig ut. Ingenting i den lister brukerne, gruppene deres, de statiske rutene eller policyen som avgjorde hvem som i det hele tatt fikk koble til. Disse oppføringene bor i serverens eget lager, og de to produktene lagrer dem i ulike former.

I Community Edition er ekvivalentene filer du selv holder: client-config-dir-oppføringer med valg per klient som ifconfig-push og iroute, en CRL for tilbakekallinger og tls-crypt-nøkkelen. Access Server holder de samme begrepene i sin egen database og eksponerer dem via en webkonsoll og kommandolinjeverktøyet sacli. Begrepene svarer en til en; artefaktene flytter ikke i det hele tatt.

Profiler smugler også inn atferd som ingen legger merke til før den endres. En klient med redirect-gateway def1 sender all surfing gjennom serveren; flytt den til en installasjon uten den linjen, og klagen blir at internett er ødelagt. En CA-avvik eller feil remote-cert-tls-innstilling feiler høylytt, som er det gode utfallet. En manglende tls-crypt-nøkkel feiler som en stille tidsavbrudd, som ikke er det.

Hva administrasjonslaget eier

Tell det som ikke er protokoll: kontooppretting, tilbakestilling av passord, gruppetildeling, MFA-registrering, tilkoblingsrettigheter og revisjonssporet som svarer på hvem som koblet til når. Community Edition leverer ingen av disse direkte. Du velger en autentiseringsbackend, kobler PAM, LDAP eller RADIUS inn via en plugin eller auth-user-pass-verify, og vedlikeholder resten selv. Access Server leverer en brukerportal, en administrasjonskonsoll og integrasjoner mot vanlige identitetsleverandører. Ingen av ordningene er sikrere som standard, fordi policyen fortsatt må skrives av noen som kjenner nettet.

Rettigheter er den skarpeste driftsforskjellen. Access Server lisensieres etter antall samtidige tilkoblinger og håndhever det antallet i programvare. I Community Edition er en global grense én enkelt max-clients-linje, mens alt per bruker eller per gruppe betyr mer client-config-dir-arbeid og din egen håndheving. Et team uten appetitt på den vedlikeholden kjøper nettopp det når det betaler for det kommersielle produktet.

Lisensiering og støtte: posten ingen budsjetterer med

Community Edition er gratis og åpen kildekode. Access Server er kommersiell, og gratisnivået har historisk dekket et lite antall samtidige tilkoblinger med en betalt lisens over det. Enhver tallverdi fra et gammelt forum-svar er utdatert nå, så sjekk leverandørens gjeldende vilkår før du kostnadsberegner prosjektet. Den ærlige sammenligningen legger timene som brukes på å bygge brukeradministrasjon, MFA og overvåking på fellesskapssiden til lisenslinjen på den kommersielle siden.

Støtteeierskap følger samme deling. Med Community Edition er du eskaleringsveien for hver merkelig klient og hver kjerneoppdatering. Med Access Server har du en leverandør å ringe, og du arver utgivelsesrytmen deres, enten den passer endringsvinduet ditt eller ikke.

Kontroller før overgangen

Inventer hva den kjørende serveren faktisk holder før overgangen i begge retninger. På Access Server-siden eksporterer du brukerlisten og gruppetildelingene og noterer hvilke kontoer som er avhengige av MFA. På Community Edition-siden lister du opp de utstedte sertifikatene, CRL-en og hver fil under client-config-dir. Sammenlign de to listene linje for linje, fordi forskjellen mellom dem er migreringsarbeidet.

Test representative klienter mens den gamle tjenesten fortsatt kjører. openvpn --config client.ovpn --verb 4 i forgrunnen skriver ut håndtrykket, de pusha rutene og DNS-alternativene, og openssl x509 -in client.crt -noout -subject -enddate viser hvilket sertifikat klienten faktisk presenterer. En klient som kobler til men ikke når en intern vert, har et rute- eller iroute-gap, ikke en autentiseringsfeil.

Hold den gamle gjenopprettingsveien i live til erstatningen består både en test med avvist tilgang og en vellykket. Skriv det endelige kartet på én side: hvert krav, artefakten som oppfyller det i dag, og artefakten som vil oppfylle det etterpå.