OpenVPN Access Server verzus Community: čo sa naozaj prenáša

Profily sa prenesú; zoznamy používateľov zostanú. Tím, ktorý prechádza medzi Access Serverom a Community Edition, narazí na túto medzeru hodinu po prechode, keď sa jeho prvý klient overí a potom nemá skupinovú politiku, žiadnu trasu pre používateľa ani samoobslužné obnovenie hesla. Oba produkty hovoria rovnakým protokolom a prijímajú rovnakého klienta, a práve preto zostáva medzera pri plánovaní neviditeľná. Čo v skutočnosti vyberáte, je vrstva správy a ľudia, ktorí ju vlastnia.

Berte rozhodnutie ako otázku inventára, nie ako tabuľku funkcií. Pýtajte sa, kto vytvára používateľov, kto odvoláva certifikáty a kto dvíha telefón o 02:00.

Prečo súbor .ovpn neprenáša nastavenie

Profil .ovpn opisuje vzťah jedného klienta k jednému serveru: vzdialený hostiteľ, protokol, CA, klientsky certifikát a kľúč a akýkoľvek vložený materiál tls-crypt. Vložte tento súbor do novej inštalácie a klient napriek tomu dokončí handshake, takže migrácia vyzerá hotová. Nič v ňom neuvádza používateľov, ich skupiny, ich statické trasy ani politiku, ktorá rozhodovala o tom, komu je vôbec dovolené pripojiť sa. Tieto záznamy žijú vo vlastnom úložisku servera a oba produkty ich uchovávajú v rôznych podobách.

V Community Edition sú ekvivalenty súbory, ktoré si držíte: položky client-config-dir s možnosťami pre jednotlivých klientov, ako sú ifconfig-push a iroute, CRL pre odvolania a kľúč tls-crypt. Access Server drží rovnaké pojmy vo vlastnej databáze a vystavuje ich cez webovú konzolu a nástroj príkazového riadka sacli. Pojmy si zodpovedajú jeden k jednému; artefakty sa vôbec neprenášajú.

Profily tiež prepašujú správanie, ktoré si nikto nevšimne, kým sa nezmení. Klient s redirect-gateway def1 posiela všetko prehliadanie cez server; presuňte ho do inštalácie bez tohto riadka a sťažnosť bude, že sa rozbil internet. Nezhoda CA alebo nesprávne nastavenie remote-cert-tls zlyhá nahlas, čo je dobrý výsledok. Chýbajúci kľúč tls-crypt zlyhá ako tiché vypršanie časového limitu, čo nie je.

Čo vlastní vrstva správy

Spočítajte, čo nie je protokol: vytváranie účtov, obnovenie hesiel, prideľovanie skupín, zápis do MFA, oprávnenia na pripojenie a audítorská stopa, ktorá odpovedá, kto sa kedy pripojil. Community Edition nič z toho priamo neposkytuje. Vyberiete si backend overovania, zapojíte PAM, LDAP alebo RADIUS cez plugin alebo auth-user-pass-verify a zvyšok si udržiavate sami. Access Server dodáva používateľský portál, administratívnu konzolu a integrácie s bežnými poskytovateľmi identity. Ani jedno usporiadanie nie je predvolene bezpečnejšie, pretože politiku stále musí napísať niekto, kto pozná sieť.

Oprávnenia sú najostrejší prevádzkový rozdiel. Access Server sa licencuje podľa počtu súbežných pripojení a tento počet vynucuje softvérom. V Community Edition je globálny limit jediný riadok max-clients, zatiaľ čo čokoľvek pre používateľa alebo skupinu znamená viac práce s client-config-dir a vlastné vynucovanie. Tím bez chuti do tejto údržby kupuje presne to, keď platí za komerčný produkt.

Licencovanie a podpora: riadok, ktorý nikto neplánuje do rozpočtu

Community Edition je zadarmo a s otvoreným zdrojovým kódom. Access Server je komerčný a jeho bezplatná úroveň historicky pokrývala malý počet súbežných pripojení, nad tým je platená licencia. Akékoľvek číslo citované v starej odpovedi na fóre je už zastarané, preto si pred kalkuláciou projektu overte aktuálne podmienky dodávateľa. Poctivé porovnanie pripočíta hodiny strávené budovaním správy používateľov, MFA a monitorovania na strane komunity k riadku licencie na komerčnej strane.

Vlastníctvo podpory nasleduje rovnaké rozdelenie. S Community Edition ste eskalačnou cestou pre každého zvláštneho klienta a každú aktualizáciu jadra. S Access Serverom máte dodávateľa, ktorému môžete zavolať, a dedíte jeho rytmus vydaní, či už sa hodí do vášho okna zmien, alebo nie.

Kontroly pred prechodom

Pred prechodom ktorýmkoľvek smerom si zmapujte, čo bežiaci server skutočne uchováva. Na strane Access Serveru exportujte zoznam používateľov a priradenia skupín a poznamenajte, ktoré účty sa spoliehajú na MFA. Na strane Community Edition vypíšte vydané certifikáty, CRL a každý súbor pod client-config-dir. Porovnajte oba zoznamy riadok po riadku, pretože rozdiel medzi nimi je migračná práca.

Testujte reprezentatívnych klientov, kým stará služba ešte beží. openvpn --config client.ovpn --verb 4 v popredí vypíše handshake, odovzdané trasy a možnosti DNS a openssl x509 -in client.crt -noout -subject -enddate ukáže, ktorý certifikát klient skutočne predkladá. Klient, ktorý sa pripojí, ale nedostane sa k internému hostiteľovi, má medzeru v trase alebo v iroute, nie zlyhanie overenia.

Udržujte starú cestu obnovy živú, kým náhrada neprejde testom odmietnutého prístupu aj úspešným testom. Zapíšte konečnú mapu na jednu stránku: každá požiadavka, artefakt, ktorý ju dnes spĺňa, a artefakt, ktorý ju splní potom.