OpenVPN Access Server naspram Community: što se zapravo prenosi

Profili se prenose; liste korisnika ostaju. Tim koji prelazi između Access Servera i Community Editiona susreće taj jaz sat vremena nakon prelaska, kada se njegov prvi klijent autentificira i zatim nema grupnu politiku, nema rutu po korisniku i nema samostalno resetiranje lozinke. Oba proizvoda govore isti protokol i prihvataju istog klijenta, i upravo zato jaz ostaje nevidljiv tokom planiranja. Ono što zapravo birate jest sloj upravljanja i ljudi koji ga posjeduju.

Tretirajte odluku kao pitanje inventara, a ne kao tabelu funkcija. Pitajte ko kreira korisnike, ko opoziva certifikate i ko odgovara na poziv u 02:00.

Zašto .ovpn datoteka ne nosi podešavanje

.ovpn profil opisuje odnos jednog klijenta s jednim serverom: udaljeni host, protokol, CA, klijentski certifikat i ključ, te svaki ugrađeni tls-crypt materijal. Ubacite tu datoteku u svježu instalaciju i klijent ipak završi rukovanje, pa migracija izgleda gotova. Ništa u njoj ne navodi korisnike, njihove grupe, njihove statične rute ni politiku koja je odlučivala kome je uopće dopušteno povezivanje. Ti zapisi žive u vlastitom spremištu servera, a oba proizvoda ih čuvaju u različitim oblicima.

U Community Editionu ekvivalenti su datoteke koje sami držite: unosi client-config-dir s opcijama po klijentu kao što su ifconfig-push i iroute, CRL za opozive i ključ tls-crypt. Access Server drži iste koncepte u vlastitoj bazi i izlaže ih kroz web konzolu i alat naredbenog retka sacli. Koncepti se preslikavaju jedan na jedan; artefakti se uopće ne prenose.

Profili također podmeću ponašanje koje nitko ne primijeti dok se ne promijeni. Klijent s redirect-gateway def1 šalje cijelo pretraživanje kroz server; premjestite ga u instalaciju bez tog retka i žalba je da je internet pokvaren. Neusklađenost CA ili pogrešna postavka remote-cert-tls pada glasno, što je dobar ishod. Nedostajući ključ tls-crypt pada kao tihi timeout, što nije.

Šta posjeduje sloj upravljanja

Prebrojite ono što nije protokol: kreiranje računa, resetiranje lozinke, dodjelu grupa, upis u MFA, prava na povezivanje i revizijski trag koji odgovara ko se kada povezao. Community Edition ništa od toga ne nudi izravno. Vi birate pozadinu autentifikacije, povezujete PAM, LDAP ili RADIUS kroz dodatak ili auth-user-pass-verify i sami održavate ostalo. Access Server isporučuje korisnički portal, administrativnu konzolu i integracije s uobičajenim pružateljima identiteta. Nijedno rješenje nije sigurnije po defaultu, jer politiku ipak mora napisati netko ko poznaje mrežu.

Prava na povezivanje najoštrija su operativna razlika. Access Server se licencira po broju istovremenih veza i taj broj provodi softverski. U Community Editionu globalni limit je jedan redak max-clients, dok sve po korisniku ili grupi znači više rada s client-config-dir i vlastito provođenje. Tim bez volje za to održavanje kupuje upravo to kada plaća komercijalni proizvod.

Licenciranje i podrška: stavka koju nitko ne planira u proračunu

Community Edition je besplatan i otvorenog koda. Access Server je komercijalan, a njegov besplatni nivo povijesno je pokrivao mali broj istovremenih veza, uz plaćenu licencu iznad toga. Svaki broj iz starog odgovora na forumu danas je zastario, pa provjerite trenutne uvjete dobavljača prije nego izračunate trošak projekta. Iskrena usporedba dodaje sate utrošene na izgradnju upravljanja korisnicima, MFA i nadzora na strani zajednice na stavku licence na komercijalnoj strani.

Vlasništvo nad podrškom slijedi istu podjelu. S Community Editionom vi ste put eskalacije za svakog neobičnog klijenta i svako ažuriranje kernela. S Access Serverom imate dobavljača kojeg možete pozvati i nasljeđujete njegov ritam izdanja, bez obzira odgovara li vašem prozoru promjena.

Provjere koje treba pokrenuti prije prelaska

Popišite što pokrenuti server zapravo drži prije prelaska u bilo kojem smjeru. Na strani Access Servera izvezite listu korisnika i dodjele grupa i zabilježite koji se računi oslanjaju na MFA. Na strani Community Editiona navedite izdane certifikate, CRL i svaku datoteku pod client-config-dir. Uporedite dvije liste red po red, jer razlika među njima je posao migracije.

Testirajte reprezentativne klijente dok stara usluga još radi. openvpn --config client.ovpn --verb 4 u prednjem planu ispisuje rukovanje, poslane rute i DNS opcije, a openssl x509 -in client.crt -noout -subject -enddate pokazuje koji certifikat klijent doista predstavlja. Klijent koji se poveže ali ne može doći do internog hosta ima jaz u ruti ili iroute, a ne neuspjeh autentifikacije.

Držite stari put oporavka živim dok zamjena ne prođe test odbijenog pristupa kao i uspješni. Zapišite konačnu kartu na jednoj stranici: svaki zahtjev, artefakt koji ga zadovoljava danas i artefakt koji će ga zadovoljiti poslije.