Prichádzajúci VPN v Windows alebo host OpenVPN: vyberte za päť minút

Windows dokáže prijať VPN pripojenie bez čohokoľvek nainštalovaného okrem operačného systému, a to skutočne pomôže, keď dva vaše počítače potrebujú tunel na jedno popoludnie. Užitočné zostane približne tak dlho. Vstavaný počúvač má pevnú ponuku protokolov, žiadnu politiku pre jednotlivých klientov a závislosť od pracovnej plochy, ktorú niekto môže zavrieť. Výber medzi ním, koncovým bodom na routeri a hostom OpenVPN sa redukuje na tri podmienky, nie na preferenciu.

Čo vstavaný počúvač skutočne je

Sprievodca prichádzajúcim pripojením premení pracovnú stanicu na malý koncový bod vzdialeného prístupu. Vyberáte, ktoré miestne účty sa môžu prihlásiť, ako sa prideľujú adresy a ktorý protokol je zapnutý: PPTP, plus L2TP/IPsec alebo SSTP tam, kde to edícia a práca s certifikátmi podporujú.

Čo to nie je, je vrstva politík. Neexistuje priradenie trás pre jednotlivých používateľov, žiadny serverom vynútený rozdelený tunel ani oddelenie tunela od vlastnej sieťovej identity pracovnej stanice. Klient, ktorý sa pripojí, pristane v rovnakom segmente ako pracovná stanica, pod pravidlami firewallu toho segmentu.

Práve posledný bod treba zvážiť. Vlastné porty pracovnej stanice, zdieľania a prehliadač sú teraz dostupné každému, kto má účet, a účet je miestny účet Windows so všetkým ostatným, čo už dokáže.

Tri podmienky, ktoré to rozhodnú

Opýtajte sa, ako dlho má prístup vydržať, koľko ľudí ho potrebuje a či sieť vôbec dokáže protokol doručiť.

Ak je odpoveď jeden stroj, jeden človek a niekoľko hodín v sieti, kde router ovládate vy, je vstavaný počúvač primeraný. Ak má prístup prežiť reštarty mesiac, obslúžiť piatich kolegov s oddelenými prihlasovacími údajmi alebo fungovať z mobilnej siete, ktorá nemôže prijímať prichádzajúce spojenia, nie je. Ak protokol vyžaduje IP protokol 47 namiesto portu, sieť ho môže odmietnuť doručiť bez ohľadu na to, čo Windows podporuje.

Tieto tri odpovede odstránia väčšinu hádky na jeden prechod. Zvyšok je detail implementácie.

Kde vyhráva koncový bod na routeri

Tunel ukončený na routeri je prirodzenou voľbou pre trvalý prístup. Router už je vždy zapnutý, dokáže niesť tunel medzi lokalitami do inej kancelárie a klienti nepotrebujú nič inštalovať, ak router ponúka protokol, ktorý používajú.

Obmedzením je firmware. Spotrebiteľské routery často podporujú len časť toho, čo špecifikácia dovoľuje, a model, ktorý inzeruje podporu VPN, nemusí obsahovať práve ten protokol, s ktorým ste počítali. Skontrolujte zoznam funkcií nainštalovaného firmwaru, nie produktovej rodiny.

Kde vyhráva host OpenVPN

Server OpenVPN na malom počítači, ktorý je stále zapnutý, sadne zmiešaným klientom, viacerým používateľom s oddelenými prihlasovacími údajmi aj sieťam, kde je jediný port vhodný pre odchádzajúcu prevádzku rozdielom medzi fungovaním a zablokovaním. Vydáva profil pre každého klienta, beží na všetkých hlavných platformách a z pohľadu klienta sa správa ako bežná odchádzajúca aplikácia.

Vyžaduje si aj vlastníka. Niekto musí obnovovať certifikáty, nasadzovať aktualizácie hostiteľa a čítať log, keď sa klient nemôže pripojiť. Bez toho človeka samostatne hostovaný koncový bod ticho chátra až do dňa, keď na ňom záleží.

Overte cestu, kým sľúbite prístup

Najčastejším dôvodom zlyhania počúvača Windows nie je autentifikácia. Je to cesta: PPTP potrebuje prichádzajúci TCP 1723 a GRE, čo je protokol 47, nie port, a mnohé routery preposielajú iba porty. Niektoré prístupové siete prichádzajúce spojenia vôbec nepovoľujú. Tento jediný fakt vyradí vstavaný počúvač vo viacerých sieťach než akékoľvek nastavenie Windows.

Otestujte cestu pred konfiguráciou účtov, aby zlyhanie malo jedného kandidáta namiesto troch:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Zatvorený port na prvom riadku je problém preposielania alebo operátora, nie Windows. Tretí riadok je kontrola, ktorú by ste vykonali po voľbe OpenVPN, kde jediný počúvajúci UDP port nahradí celú otázku protokolu.

Nech vyberiete ktorúkoľvek možnosť, nenechávajte PPTP obrátené do internetu ako dlhodobé riešenie; jeho autentifikácia a šifrovanie sú zastarané. A ak je skutočnou potrebou jedna webová aplikácia, reverzný proxy je menšia odpoveď než akýkoľvek VPN.