OpenVPN ili IKEv2: četiri provjere prije odabira protokola

Izbor između OpenVPN-a i IKEv2 obično se raspravlja kao pitanje protokola, a takav okvir traći odluku. Odluku donosi to podržavaju li vaš poslužitelj i vaši uređaji isti cjeloviti profil i preživljava li taj profil način na koji se krećete između mreža. Dva se skupa ne prevode jedan u drugi: OVPN datoteka nije IKEv2 profil s drukčijom sintaksom. Četiri provjere, provedene po redu, odgovaraju na pitanje brže od bilo koje tablice značajki.

Klijent koji nedostaje završava raspravu

Windows i macOS dolaze s IKEv2 klijentom, pa IKEv2 profil ondje ne stoji ništa dodatno i nasljeđuje mogućnosti dodjele koje operacijski sustav već izlaže. OpenVPN na istim strojevima znači klijent treće strane koji treba instalirati, ažurirati i podržavati, a taj klijent mora prihvatiti svaku mogućnost koju profil koristi. Prebrojite platforme koje morate pokriti prije nego usporedite bilo što drugo, jer platforma bez klijenta koji radi nije nikakva točka usporedbe.

Na Windowsu jedna naredba popisuje profile koji već postoje i pokazuje koje su vrste svaki od njih. Ime koje ispiše jest ime koje kasnije provjere koriste.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Upit za instalacijom klijenta pravi je odgovor za stupac OpenVPN na tim platformama i to je zadatak uvođenja, a ne ograničenje protokola. Nijedan raspored ne uklanja provjere povjerenja, provjeru identiteta ni održavanje. Pitajte kako se profili dijele, kako se obnavljaju vjerodajnice i kako se uklanja izgubljeni uređaj prije nego se obvežete. Jednostavna instalacija može ipak skrivati postupak oporavka koji nitko ne želi pokretati vikendom.

Mobilnost je zajednička postavka, a ne obećanje protokola

IKEv2 može koristiti MOBIKE kad ga oba kraja podržavaju i omoguće, što klijentu dopušta da zadrži tunel dok mu se adresa mijenja. RFC 4555 definira to proširenje, a uvjetna formulacija je važna: poslužitelj koji zanemari tu mogućnost umjesto toga ponovno pregovara. Rezultat može izgledati jednako za prijenos datoteke i vrlo različito za poziv uživo.

Testirajte prijelaz do kojeg vam je doista stalo, s nečim što radi i što možete gledati. Držite ping -t <internal-host> u pogonu na Windowsu ili obični ping drugdje, zatim prijeđite s Wi-Fi na mobilnu mrežu i gledajte preskoke. Neuspjeh MOBIKE-a u dnevniku klijenta izgleda kao potpuna ponovna autentifikacija, a ne kao tiha obnova adrese. Ono što mjerite jest preživljava li tunel promjenu, a ne oglašava li protokol podršku.

OpenVPN klijenti se ponovno spajaju prema ponašanju svoje platforme i vremenima profila, pa isti test može proizvesti drugi oblik prekida. Usporedite događaj koji je važan vašim korisnicima, a ne oznaku na protokolu.

Vjerodajnice pripadaju usluzi, a ne skupu

Certifikati i drugi načini prijave pripadaju usluzi koja završava vezu. Upit za lozinku u jednom klijentu ne govori ništa o kompatibilnosti s drugim, a profil koji radi prema drugom pristupniku ne govori ništa o ovome. Zadržite pravila o identitetu poslužitelja netaknutima dok uspoređujete ta dva skupa. Promjena protokola prije nego što ustanovite kvar obično proizvede drugi nekompatibilni profil.

Pregledajte vjerodajnicu koju će klijent predstaviti prije nego okrivite ijedan protokol, jer certifikat kojemu je istekao rok ili koji je pogrešno izdan pada jednako na oba. Izlaz u nastavku prikazuje subjekt, izdavatelja i datume valjanosti bez čitanja privatnog ključa.

openssl x509 -in client.crt -noout -subject -issuer -dates

Za korporativnu vezu upotrijebite metodu koju tvrtka objavljuje i prestanite usporedbu tretirati kao eksperiment. Ako sami uspoređujete to dvoje, prvo provjerite završavaju li obje mogućnosti na istom pristupniku, jer taj jedini detalj odlučuje koliko se vašeg rezultata odnosi na protokol. Odbijanje koje imenuje vjerodajnicu jest problem vjerodajnice i nikakva količina promjene protokola to neće popraviti.

Provjerite što tunel doista usmjerava

Nakon spajanja potvrdite da ruta koja vam treba postoji i da se imena razrješavaju. Profil koji postoji zbog internih sadržaja može namjerno ostaviti obično pregledavanje na lokalnoj putanji, a to je odluka politike, a ne kvar. Važno je jesu li odredišta koja vaš tim koristi dostupna kroz tunel.

Dvije naredbe pokrivaju rutu i razrješavanje imena na Windowsu. Linux istovrijednice su ip route show default i resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Tunel koji se podigne i ne usmjeri ništa korisno čest je ishod kad je profil kopiran među uslugama, a uobičajen test povezivosti to neće pokazati jer je sučelje podignuto. Testirajte sadržaj koji vaši korisnici prvi otvaraju, a ne javnu adresu do koje bilo koja putanja može doći. Ako se ime razrješava u javnu adresu dok ruta pokazuje u tunel, odgovor DNS-a i ruta pripadaju različitim odlukama i obje treba popraviti.

Nakon provjera odvažite održavanje

Nijedan protokol nije održiviji u apstraktnom smislu. Održavanje ovisi o tome ko upravlja pristupnikom, kako profili dolaze do uređaja i kako brzo izgubljeni uređaj gubi pristup. Jednostavan klijent na kraju može stajati pred poslužiteljem koji je teže voditi, a događa se i obrnuto. Pitajte koje od to dvoje vaš tim može održavati nakon što osoba koja ga je izgradila ode.

Odaberite onu podržanu vezu koja pokriva posao, zatim je testirajte prema pristupu koji vam doista treba, a ne prema popisu značajki. Zabilježite na kojem pristupniku završava svaka mogućnost, jer dva različita pristupnika čine usporedbu jednako pitanjem ruta koliko i protokola. Ponovite četiri provjere na uređaju koji ćete doista nositi i zadržite profil koji na njemu prođe.