Входящий VPN в Windows или хост OpenVPN: выберите за пять минут

Windows может принимать VPN-подключение, если не установлено ничего, кроме операционной системы, и это действительно помогает, когда двум вашим машинам нужен туннель на один день. Полезным это остаётся примерно столько же. У встроенного прослушивателя фиксированное меню протоколов, нет политики для каждого клиента и есть зависимость от рабочего стола, который кто-то может закрыть. Выбор между ним, точкой на роутере и хостом OpenVPN сводится к трём условиям, а не к предпочтению.

Что на самом деле представляет собой встроенный прослушиватель

Мастер входящих подключений превращает рабочую станцию в небольшую точку удалённого доступа. Вы выбираете, какие локальные учётные записи могут дозваниваться, как выдаются адреса и какой протокол включён: PPTP, а также L2TP/IPsec или SSTP там, где это поддерживают редакция и работа с сертификатами.

Чего он не представляет собой, так это уровня политик. Нет назначения маршрутов для каждого пользователя, нет раздельного туннеля, навязываемого сервером, и нет разделения между туннелем и собственной сетевой идентичностью рабочей станции. Клиент, который подключается, попадает в тот же сегмент, что и рабочая станция, под правила межсетевого экрана этого сегмента.

Именно последний пункт и стоит взвесить. Собственные порты рабочей станции, общие ресурсы и браузер теперь доступны любому, у кого есть учётная запись, а учётная запись — это локальная учётная запись Windows со всем остальным, что она уже умеет.

Три условия, которые решают

Спросите, как долго должен длиться доступ, скольким людям он нужен и может ли сеть вообще доставить протокол.

Если ответ — одна машина, один человек и несколько часов в сети, где роутером управляете вы, встроенный прослушиватель соразмерен. Если доступ должен переживать перезагрузки месяц, обслуживать пятерых коллег с отдельными учётными данными или работать из мобильной сети, которая не может принимать входящие подключения, — нет. Если протокол требует протокол IP 47, а не порт, сеть может отказаться его доставлять, независимо от того, что поддерживает Windows.

Эти три ответа устраняют большую часть спора за один проход. Остальное — детали реализации.

Где выигрывает точка на роутере

Туннель, который заканчивается на роутере, — естественный выбор для постоянного доступа. Роутер и так всегда включён, он может нести туннель между площадками в другой офис, а клиентам не нужно ничего устанавливать, если роутер предлагает протокол, который они используют.

Ограничение — прошивка. Потребительские роутеры часто поддерживают лишь часть того, что допускает спецификация, и модель, рекламирующая поддержку VPN, может не включать именно тот протокол, на который вы рассчитывали. Смотрите список функций установленной прошивки, а не семейства продуктов.

Где выигрывает хост OpenVPN

Сервер OpenVPN на небольшой всегда включённой машине подходит для смешанных клиентов, нескольких пользователей с отдельными учётными данными и сетей, где единственный удобный для исходящего трафика порт — это разница между работой и блокировкой. Он выдаёт профиль для каждого клиента, работает на всех основных платформах и со стороны клиента ведёт себя как обычное исходящее приложение.

Он также требует владельца. Кто-то должен обновлять сертификаты, применять обновления хоста и читать журнал, когда клиент не может подключиться. Без этого человека самостоятельно размещённая точка тихо деградирует до дня, когда это станет важно.

Проверьте путь, прежде чем обещать доступ

Самая частая причина сбоя прослушивателя Windows — не аутентификация. Причина — путь: PPTP нужны входящий TCP 1723 и GRE, а это протокол 47, а не порт, и многие роутеры пересылают только порты. Некоторые сети доступа вообще не разрешают входящие подключения. Этот один факт исключает встроенный прослушиватель в большем числе сетей, чем любая настройка Windows.

Проверьте путь перед настройкой учётных записей, чтобы у сбоя был один кандидат, а не три:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Закрытый порт в первой строке — это проблема перенаправления или оператора, а не Windows. Третья строка — проверка, которую вы сделаете после выбора OpenVPN, где один слушающий порт UDP заменяет весь вопрос о протоколе.

Какой бы вариант вы ни выбрали, не оставляйте PPTP обращённым в интернет как долгосрочное решение; его аутентификация и шифрование устарели. И если реальная потребность — одно веб-приложение, обратный прокси — меньший ответ, чем любой VPN.