SSTP protiv OpenVPN-a: isti port 443, drugačiji protokol

Obje opcije mogu stajati iza TCP 443, pa ljudi pretpostavljaju da su to zamjenjive krajnje točke. Nisu: SSTP poslužitelj govori PPP unutar HTTPS-a, dok OpenVPN poslužitelj govori vlastiti protokol preko TLS-a ili sirovog UDP toka. Usmjeravanje jednog klijenta na port drugoga daje vezu koja nikada ne stigne do prijave. Izbor se odnosi na koji klijent i prijenos možete podržati, a ne na broj.

Zajednički port ne čini zajednički protokol

TLS rukovanje može se dovršiti i ipak nikamo ne dovesti, jer se klijent i poslužitelj tada ne slažu što reći sljedeće. U snimci paketa vidite čisto rukovanje nakon kojeg slijede podaci aplikacije koje druga strana odbija ili ignorira. Taj obrazac je potpis nesklada protokola, a ne blokade vatrozida.

Ni preimenovani profil ni drugi unos u izborniku ne pretvara jedno u drugo. SSTP veza stvara se iz Windows VPN postavki s adresom poslužitelja i podacima za provjeru identiteta operatera, dok OpenVPN veza treba klijenta i odgovarajuću konfiguracijsku datoteku. Microsoftova SSTP specifikacija opisuje prvo i ne opisuje OpenVPN rukovanje.

Port 443 je pogodnost politike. Prolazi kroz mreže koje dopuštaju malo što drugo, i to je stvarna prednost, ali ne govori ništa o tome koji protokol radi iza njega.

SSTP tunelira PPP unutar HTTPS-a

Ime opisuje konstrukciju: PPP okviri nošeni unutar HTTPS sesije, što znači TLS ispod i certifikat koji klijent može provjeriti. Windows to uključuje kao izvornu vrstu VPN-a, pa se upravljano prijenosno računalo često može povezati bez dodatnog softvera osim profila koji operater daje.

Druge platforme su druga priča. Linux ili macOS klijent treba održavanu implementaciju, a one se razlikuju po tome što podržavaju i kako prijavljuju pogreške. Provjerite klijent koji stvarno namjeravate koristiti umjesto da pretpostavite da se ugrađena Windows mogućnost prenosi, i potvrdite da se naziv poslužitelja u profilu podudara s certifikatom koji poslužitelj predstavlja.

SSTP je obično samo TCP. Taj jedini prijenos utječe na ponašanje na vezi s gubicima, jer se ponovno slanje događa i unutar tunela i ispod njega.

OpenVPN donosi vlastitog klijenta i izbor prijenosa

OpenVPN isporučuje vlastitog klijenta i profil, što vam daje dijagnostiku koju izvorni Windows dijalog ne izlaže. Poslužitelj može slušati na UDP-u ili TCP-u, a operaterova konfiguracija odlučuje koji vaš klijent mora koristiti. Profil usmjeren na pogrešan prijenos pada prije provjere identiteta.

Provjera identiteta jednako ovisi o konfiguraciji. Postava može zahtijevati samo certifikate, certifikate plus korisničko ime i lozinku, ili drugi faktor povrh toga, a klijent mora točno odgovarati tom rasporedu. Činjenica da veza dosegne TLS fazu ne govori koje će akreditive tražiti sljedeće.

UDP je uobičajeni standard jer izbjegava ugnježđivanje pouzdanog toka unutar drugog pouzdanog toka. TCP način postoji za mreže koje blokiraju UDP i radi, ali veliki gubici mogu ga učiniti gorim od UDP puta koji je zamijenio. Odaberite TCP kad morate, ne zato što zvuči pouzdanije.

Odaberite prema klijentu, prijenosu i podršci

Tri pitanja rješavaju većinu ovih odluka. Treba li svaki klijentski uređaj vezu koja radi bez dodatnog softvera? Dopušta li mreža na koju se oslanjate UDP, ili je TCP 443 jedini izlaz? I koga podržava klijent, njegove nadogradnje i oporavak kad profil istekne?

Kad uspoređujete njih dvoje, testirajte na istom uređaju i istoj pristupnoj mreži. Ako su SSTP i OpenVPN krajnje točke različiti poslužitelji ili različita mjesta, rezultat uključuje te rute i strojeve umjesto da izolira protokol. To je najčešći način na koji takve usporedbe daju samouvjeren ali pogrešan odgovor.

Zatim potvrdite koju ste stvarno uspostavili prije nego što bilo što drugo otklanjate:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Bilo kako bilo, završite testiranjem resursa i DNS-a koji vam trebaju umjesto da proglasite uspjeh u stanju tunela. Oba se protokola mogu konfigurirati da nose samo odabrani privatni promet, a povezani tunel bez radnog razrješavanja imena izgleda kao pokvareni VPN kad je zapravo split-tunnel ili DNS dizajn.

U upravljanoj floti distribucija profila i podrška za nadogradnje obično odluče pitanje mnogo prije bilo kakvog mjerenja prijenosa.