OpenVPN alebo IKEv2: štyri kontroly pred výberom protokolu

Voľba medzi OpenVPN a IKEv2 sa zvyčajne diskutuje ako otázka protokolu, a takýto rámec premrhá rozhodnutie. Rozhoduje to, či server a zariadenia podporujú ten istý úplný profil a či ten profil vydrží spôsob, akým sa pohybujete medzi sieťami. Tieto dva zásobníky sa navzájom neprekladajú: súbor OVPN nie je profil IKEv2 s inou syntaxou. Štyri kontroly vykonané v poradí odpovedajú na otázku rýchlejšie než akákoľvek tabuľka funkcií.

Chýbajúci klient ukončí diskusiu

Windows a macOS dodávajú klienta IKEv2, takže profil IKEv2 tam nestojí nič navyše pri nasadení a dedí možnosti prípravy, ktoré operačný systém už ponúka. OpenVPN na tých istých strojoch znamená klienta tretej strany, ktorého treba nainštalovať, aktualizovať a podporovať, a ten klient musí prijať každú možnosť, ktorú profil používa. Spočítajte platformy, ktoré musíte pokryť, skôr než porovnáte čokoľvek iné, pretože platforma bez funkčného klienta vôbec nie je porovnávacím bodom.

Vo Windows jeden príkaz vypíše existujúce profily a ukáže, akého typu je každý z nich. Názov, ktorý vypíše, je názov, ktorý používajú neskoršie kontroly.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Výzva na inštaláciu klienta je skutočná odpoveď pre stĺpec OpenVPN na týchto platformách a je to úloha nasadenia, nie obmedzenie protokolu. Ani jedno riešenie neodstraňuje kontroly dôvery, overovanie identity ani údržbu. Pred záväzkom sa opýtajte, ako sa profily distribuujú, ako sa obnovujú prihlasovacie údaje a ako sa odstraňuje stratené zariadenie. Jednoduchá inštalácia môže stále skrývať postup obnovy, ktorý nikto nechce spúšťať cez víkend.

Mobilita je spoločné nastavenie, nie sľub protokolu

IKEv2 môže používať MOBIKE, keď ho oba konce podporujú a zapnú, čo klientovi umožňuje udržať tunel, keď sa jeho adresa mení. RFC 4555 definuje toto rozšírenie a podmienená formulácia je dôležitá: server, ktorý túto možnosť ignoruje, namiesto toho znovu vyjednáva. Výsledok môže vyzerať rovnako pri prenose súboru a veľmi odlišne pri živom hovore.

Otestujte prechod, na ktorom vám naozaj záleží, s niečím bežiacim, čo môžete pozorovať. Nechajte ping -t <internal-host> bežať vo Windows alebo obyčajný ping inde, potom prepnite z Wi-Fi na mobilnú sieť a sledujte medzery. Zlyhanie MOBIKE sa v protokole klienta prejaví ako úplná opätovná autentifikácia, nie ako tiché aktualizovanie adresy. Meriame to, či tunel prežije zmenu, nie to, či protokol inzeruje podporu.

Klienti OpenVPN sa znovu pripájajú podľa správania svojej platformy a časovačov profilu, takže ten istý test môže priniesť inú podobu prerušenia. Porovnávajte udalosť, ktorá je dôležitá pre vašich používateľov, nie označenie na protokole.

Prihlasovacie údaje patria službe, nie zásobníku

Certifikáty a iné spôsoby prihlásenia patria službe, ktorá ukončuje spojenie. Výzva na heslo v jednom klientovi nič nehovorí o kompatibilite s iným a profil, ktorý funguje s inou bránou, nič nehovorí o tejto. Zachovajte pravidlá identity servera nezmenené, kým porovnávate dva zásobníky. Zmena protokolov pred identifikovaním poruchy zvyčajne vytvorí druhý nekompatibilný profil.

Pred obviňovaním ktoréhokoľvek protokolu skontrolujte prihlasovacie údaje, ktoré klient predloží, pretože expirovaný alebo nesprávne vydaný certifikát zlyháva rovnako v oboch prípadoch. Výstup nižšie zobrazuje subjekt, vydavateľa a dátumy platnosti bez čítania súkromného kľúča.

openssl x509 -in client.crt -noout -subject -issuer -dates

Pre firemné pripojenie použite metódu, ktorú firma zverejňuje, a prestaňte porovnanie brať ako experiment. Ak porovnávate oba sami, najprv skontrolujte, či sa obe možnosti končia na jednej bráne, pretože ten jediný detail rozhoduje o tom, aká veľká časť vášho výsledku je o protokole. Odmietnutie, ktoré uvádza prihlasovacie údaje, je problém prihlasovacích údajov a žiadna zmena protokolu ho neopraví.

Skontrolujte, čo tunel skutočne smeruje

Po pripojení potvrďte, že potrebná trasa existuje a že mená sa prekladajú. Profil, ktorý existuje pre interné zdroje, môže zámerne nechať bežné prehliadanie na lokálnej ceste, a to je rozhodnutie politiky, nie porucha. Dôležité je, či sú ciele, ktoré váš tím používa, dostupné cez tunel.

Vo Windows dve príkazy pokrývajú trasu a vyhľadávanie mien. Ekvivalenty v Linuxe sú ip route show default a resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Tunel, ktorý sa zdvihne a nesmeruje nič užitočné, je častý výsledok, keď sa profil skopíroval medzi službami, a všeobecný test pripojenia to neukáže, pretože rozhranie je zdvihnuté. Testujte zdroj, ktorý vaši používatelia otvárajú prvý, nie verejnú adresu, ktorú dosiahne akákoľvek cesta. Ak sa meno prekladá na verejnú adresu, kým trasa ukazuje do tunela, odpoveď DNS a trasa patria rôznym rozhodnutiam a obe treba opraviť.

Po kontrolách zvážte údržbu

Ani jeden protokol nie je v abstraktnom zmysle ľahšie udržiavateľný. Údržba závisí od toho, kto prevádzkuje bránu, ako sa profily dostanú do zariadení a ako rýchlo stratené zariadenie stratí prístup. Jednoduchý koncový klient môže stáť pred náročnejším serverom na prevádzku a býva to aj naopak. Opýtajte sa, ktorý z dvoch váš tím dokáže udržať v prevádzke po odchode človeka, ktorý ho postavil.

Vyberte podporované pripojenie, ktoré pokrýva prácu, a potom ho otestujte voči prístupu, ktorý naozaj potrebujete, nie voči zoznamu funkcií. Zaznamenajte, na ktorej bráne sa každá možnosť končí, pretože dve rôzne brány robia porovnanie rovnako otázkou trás ako protokolov. Zopakujte štyri kontroly na zariadení, ktoré naozaj budete nosiť, a ponechajte profil, ktorý na ňom prejde.