SSTP verzus OpenVPN: rovnaký port 443, iný protokol

Obe možnosti môžu stáť za TCP 443, a preto ľudia predpokladajú, že sú zameniteľné koncové body. Nie sú: SSTP server hovorí PPP vnútri HTTPS, zatiaľ čo server OpenVPN hovorí vlastným protokolom cez TLS alebo surovým UDP tokom. Nasmerovanie jedného klienta na port druhého vytvorí spojenie, ktoré nikdy nedosiahne prihlasovaciu výzvu. Voľba sa týka toho, ktorého klienta a aký transport dokážete podporiť, nie čísla.

Zdieľaný port nerobí zdieľaný protokol

TLS handshake môže skončiť a napriek tomu nikam neviesť, pretože klient a server sa potom nezhodnú, čo povedať ďalej. V zachytení paketov vidíte čistý handshake, po ktorom nasledujú aplikačné dáta, ktoré druhá strana odmieta alebo ignoruje. Tento vzor je podpisom nezhody protokolov, nie blokovania firewallom.

Ani premenovaný profil, ani iná položka ponuky nepremení jedno na druhé. SSTP spojenie sa vytvára v nastaveniach VPN vo Windows s adresou servera a overovacími údajmi operátora, zatiaľ čo OpenVPN spojenie potrebuje klienta a zodpovedajúci konfiguračný súbor. Špecifikácia SSTP od Microsoftu popisuje prvý prípad a nepopisuje OpenVPN handshake.

Port 443 je pohodlie politiky. Prejde sieťami, ktoré povoľujú málo iného, a to je skutočná výhoda, ale nehovorí nič o tom, ktorý protokol za ním beží.

SSTP tuneluje PPP vnútri HTTPS

Názov popisuje konštrukciu: PPP rámce prenášané v relácii HTTPS, čo znamená TLS pod nimi a certifikát, ktorý klient môže skontrolovať. Windows to zahŕňa ako natívny typ VPN, takže spravovaný notebook sa často pripojí bez ďalšieho softvéru okrem profilu, ktorý dodá operátor.

Iné platformy sú iný príbeh. Klient pre Linux alebo macOS potrebuje udržiavanú implementáciu a tie sa líšia v tom, čo podporujú a ako hlásia chyby. Skontrolujte klienta, ktorého skutočne hodláte použiť, namiesto predpokladu, že sa vstavaná schopnosť Windows prenesie, a potvrďte, že názov servera v profile zodpovedá certifikátu, ktorý server predkladá.

SSTP je zvyčajne len TCP. Ten jediný transport ovplyvňuje, ako sa správa na linke so stratami, pretože opakovaný prenos prebieha vnútri tunela aj pod ním.

OpenVPN prináša vlastného klienta a voľbu transportu

OpenVPN dodáva vlastného klienta a profil, čo vám dá diagnostiku, ktorú natívny dialóg Windows neukáže. Server môže počúvať na UDP alebo TCP a konfigurácia operátora rozhoduje, ktorý z nich musí váš klient použiť. Profil namierený na nesprávny transport zlyhá ešte pred overením.

Overovanie je rovnako riadené konfiguráciou. Nasadenie môže vyžadovať len certifikáty, certifikáty plus používateľské meno a heslo, alebo druhý faktor navrch, a klient musí presne zodpovedať tomuto usporiadaniu. To, že spojenie dosiahne fázu TLS, nehovorí, aké prihlasovacie údaje si vyžiada ďalej.

UDP je obvyklé predvolené nastavenie, pretože sa vyhýba vnoreniu spoľahlivého toku do iného spoľahlivého toku. Režim TCP existuje pre siete, ktoré blokujú UDP, a funguje, ale veľké straty ho môžu urobiť horším než UDP cesta, ktorú nahradil. Vyberte TCP, keď musíte, nie preto, že znie spoľahlivejšie.

Vyberajte podľa klienta, transportu a podpory

Tri otázky rozhodnú väčšinu týchto volieb. Potrebuje každé klientske zariadenie spojenie, ktoré funguje bez ďalšieho softvéru? Povoľuje sieť, na ktorú sa spoliehate, UDP, alebo je TCP 443 jediným východom? A kto podporuje klienta, jeho aktualizácie a jeho obnovu, keď profil vyprší?

Keď obe porovnávate, testujte na tom istom zariadení a v tej istej prístupovej sieti. Ak sú koncový bod SSTP a koncový bod OpenVPN rôzne servery alebo rôzne lokality, váš výsledok zahŕňa tie trasy a stroje namiesto izolovania protokolu. To je najčastejší spôsob, akým takéto porovnania dajú sebavedomú, ale nesprávnu odpoveď.

Potom si potvrďte, ktoré ste skutočne nadviazali, skôr než začnete čokoľvek iné ladiť:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Tak či onak, skončite testovaním prostriedku a DNS, ktoré potrebujete, namiesto hlásenia úspechu v stave tunela. Oba protokoly možno nakonfigurovať tak, aby prenášali len vybranú súkromnú premávku, a pripojený tunel bez fungujúceho prekladu mien vyzerá ako pokazený VPN, keď je v skutočnosti návrhom split-tunela alebo DNS.

V spravovanej flotile distribúcia profilov a podpora aktualizácií zvyčajne rozhodnú otázku dávno pred akýmkoľvek meraním transportu.