Мы используем OpenVPN: протокол, движок или приложение? Что спрашивать вместо этого

Фраза «мы используем OpenVPN» приходит в тикетах, формах закупки и документах для новых сотрудников, и в каждом из них она отвечает на разные вопросы. Иногда она называет протокол передачи, иногда программное обеспечение на шлюзе, а иногда приложение, которое должен установить новый сотрудник. Эти три факта ведут к разным следующим шагам, и спросить, что именно имеется в виду, быстрее, чем угадывать. Остальное расследование вытекает из этого ответа.

Начните с того, что отделите роль от бренда, потому что бренд покрывает все три.

Это имя покрывает три роли, которые отказывают по-разному

Как протокол OpenVPN описывает, как совместимые стороны устанавливают туннель и защищают то, что через него проходит. Как программное обеспечение это реализация, которая говорит на этом протоколе в роли клиента или сервера. Как клиент это приложение, которое кто-то устанавливает, со своей версией, своим форматом профиля и своими особенностями платформы. Сбой в одной роли не означает сбоя в другой, поэтому фразе «OpenVPN не работает» нужен субъект.

Спросите, что может видеть заявитель: файл профиля, установленную программу или шлюз, которым он управляет. Эта единственная деталь подскажет, следующий шаг это журнал клиента, вопрос про пакет или проверка слушателя на стороне сервера.

OpenVPN 2 и OpenVPN 3 не являются парой для обновления

OpenVPN 2.x работает и в роли сервера, и в роли клиента, и именно его до сих пор используют большинство внедрений шлюзов. OpenVPN 3 это отдельная реализация, ориентированная на клиента, со своей конфигурацией и своей моделью сеанса, а не следующая версия, которую ставят поверх сервера 2.x. OpenVPN Connect это клиентское приложение, построенное на движке OpenVPN 3. Установка любого из них не создаёт службу выхода в интернет; выход это то, что настроил оператор.

Совместимость на уровне протокола не распространяется на директивы профиля, поэтому профиль, который чисто импортируется, всё равно может отказать на директиве, которую клиент не реализует.

Транспорт это не приложение внутри него

Внешнее соединение использует транспорт, например UDP или TCP, чтобы достичь настроенного слушателя, и всё, что несёт туннель, едет внутри него. Веб-запросу, сделанному через VPN, не нужен собственный слушатель OpenVPN, и он не становится пакетом OpenVPN на проводе. В режиме TLS канал управления согласует ключевой материал, а канал данных защищает полезную нагрузку, и это разделение стоит держать правильным при чтении журналов.

Смешение уровней порождает запросы вроде открытия порта для сайта, который уже работает через туннель. Порт принадлежит внешнему соединению, а не приложению.

Что профиль может обещать, а что нет

Профиль говорит одному клиенту, как достичь одной службы: конечная точка, транспорт, материал удостоверения и часто некоторые настройки маршрутизации и DNS. Он ничего не говорит о том, кто эксплуатирует эту службу или авторизована ли учётная запись. Маршруты, настройки распознавателя, правила пересылки и политика доступа определяют, чего сеанс действительно достигает. Профиль, который успешно импортируется, это начало работающего соединения, а не доказательство его.

Когда кто-то спрашивает, достижим ли ресурс через VPN, ответ зависит от политики сервера, а не от файла конфигурации клиента.

Просите то, что можно предоставить

Превратите широкое название в три конкретные вещи: клиент и его версия, авторизованный профиль для этого клиента и ресурс, до которого человеку нужно добраться. С ними предоставление становится конкретной задачей. Без них каждый ответ это догадка о том, какой именно OpenVPN имелся в виду.

Запишите ответ в самом запросе. Следующий тикет задаст тот же вопрос тем же двусмысленным образом.