Používame OpenVPN: protokol, jadro alebo aplikácia? Na čo sa namiesto toho pýtať
To isté slovo označuje protokol, serverový balík aj mobilnú aplikáciu. Oddeľte rolu a potom sa pýtajte na klienta, profil a zdroj.
Veta „používame OpenVPN“ prichádza v tiketoch, nákupných formulároch aj dokumentoch pre nových zamestnancov a v každom z nich odpovedá na inú otázku. Niekedy označuje prenosový protokol, niekedy softvér na bráne a niekedy aplikáciu, ktorú má nový zamestnanec nainštalovať. Tieto tri skutočnosti vedú k rôznym ďalším krokom a opýtať sa, ktorá z nich je mienená, zaberie menej času ako hádanie. Zvyšok vyšetrovania vyplýva z tejto odpovede.
Začnite oddelením roly od značky, pretože značka pokrýva všetky tri.
Názov pokrýva tri roly, ktoré zlyhávajú rôzne
Ako protokol OpenVPN opisuje, ako kompatibilní partneri nadväzujú tunel a chránia to, čo ním prechádza. Ako softvér je to implementácia, ktorá hovorí týmto protokolom v roli klienta alebo servera. Ako klient je to aplikácia, ktorú niekto nainštaluje, s vlastnou verziou, vlastným formátom profilu a vlastnými zvláštnosťami platformy. Zlyhanie v jednej role neznamená zlyhanie v inej, a preto veta „OpenVPN je dole“ potrebuje podmet.
Opýtajte sa, čo hlásateľ vidí: súbor profilu, nainštalovaný program alebo bránu, ktorú spravuje. Tento jediný detail vám povie, či je ďalším krokom klientsky log, otázka na balík alebo kontrola poslucháča na strane servera.
OpenVPN 2 a OpenVPN 3 nie sú pár na upgrade
OpenVPN 2.x beží v role servera aj klienta a práve ho väčšina nasadení brán stále používa. OpenVPN 3 je samostatná implementácia orientovaná na klienta s vlastnou konfiguráciou a modelom relácie, nie ďalšie vydanie, ktoré inštalujete nad server 2.x. OpenVPN Connect je klientska aplikácia postavená na jadre OpenVPN 3. Inštalácia ktorejkoľvek z nich nevytvára službu výstupu do internetu; výstupom je to, čo nakonfiguroval operátor.
Kompatibilita na úrovni protokolu sa nevzťahuje na direktívy profilu, takže profil, ktorý sa čisto naimportuje, môže stále zlyhať na direktíve, ktorú klient neimplementuje.
Transport nie je aplikácia v ňom
Vonkajšie spojenie používa transport ako UDP alebo TCP, aby dosiahlo nakonfigurovaného poslucháča, a všetko, čo tunel nesie, ide v ňom. Webová požiadavka vykonaná cez VPN nepotrebuje vlastného poslucháča OpenVPN a na drôte sa nestáva paketom OpenVPN. V režime TLS vyjednáva riadiaci kanál kľúčový materiál, zatiaľ čo dátový kanál chráni užitočné zaťaženie, a to je rozdelenie, ktoré sa pri čítaní logov vyplatí držať správne.
Zámena vrstiev plodí požiadavky ako otvorenie portu pre web, ktorý už cez tunel funguje. Port patrí vonkajšiemu spojeniu, nie aplikácii.
Čo profil môže a čo nemôže sľúbiť
Profil hovorí jednému klientovi, ako dosiahnuť jednu službu: koncový bod, transport, identitný materiál a často niektoré preferencie smerovania a DNS. Nehovorí nič o tom, kto túto službu prevádzkuje ani či je účet oprávnený. Trasy, nastavenia prekladača, pravidlá preposielania a prístupová politika rozhodujú o tom, čo relácia skutočne dosiahne. Profil, ktorý sa úspešne naimportuje, je začiatok funkčného spojenia, nie dôkaz o ňom.
Keď sa niekto pýta, či je zdroj dostupný cez VPN, odpoveď závisí od politiky servera, nie od konfiguračného súboru klienta.
Žiadajte to, čo sa dá zabezpečiť
Premeňte široký názov na tri konkrétnosti: klient a jeho verzia, autorizovaný profil pre tohto klienta a zdroj, ku ktorému sa človek potrebuje dostať. S nimi je zabezpečenie konkrétna úloha. Bez nich je každá odpoveď odhadom, ktorý OpenVPN otázka myslela.
Zapíšte odpoveď do samotnej požiadavky. Nasledujúci tiket položí rovnakú otázku rovnakým nejednoznačným spôsobom.