OpenVPN Access Server proti Community: kaj se v resnici prenese

Profili se prenesejo; seznami uporabnikov ostanejo. Ekipa, ki prehaja med Access Server in Community Edition, to vrzel sreča uro po prehodu, ko se njen prvi odjemalec overi in nato nima skupinske politike, nobene poti za uporabnika in nobenega samopostrežnega ponastavitve gesla. Oba izdelka govorita isti protokol in sprejemata istega odjemalca, in prav zato vrzel med načrtovanjem ostane nevidna. Kar v resnici izbirate, je upravljalna plast in ljudje, ki jo imajo v lasti.

Odluke ne obravnavajte kot tabelo funkcij, ampak kot vprašanje popisa. Vprašajte, kdo ustvarja uporabnike, kdo prekliče potrdila in kdo se javi na klic ob 02:00.

Zakaj datoteka .ovpn ne prinese nastavitve

Profil .ovpn opisuje razmerje enega odjemalca z enim strežnikom: oddaljeni gostitelj, protokol, CA, odjemalčevo potrdilo in ključ ter morebitni vdelani material tls-crypt. Spustite to datoteko v novo namestitev in odjemalec vseeno dokonča rokovanje, zato je migracija videti končana. Nič v njej ne našteva uporabnikov, njihovih skupin, njihovih statičnih poti ali politike, ki je odločala, komu je sploh dovoljeno povezati se. Ti zapisi živijo v lastnem shrambi strežnika, in oba izdelka jih hranita v različnih oblikah.

V Community Edition so ustreznice datoteke, ki jih hranite sami: vnosi client-config-dir z možnostmi za posameznega odjemalca, kot sta ifconfig-push in iroute, CRL za preklic in ključ tls-crypt. Access Server hrani iste pojme v svoji podatkovni bazi in jih izpostavlja prek spletne konzole in orodja ukazne vrstice sacli. Pojmi se ujemajo eden na enega; artefakti se sploh ne prenesejo.

Profili tudi pretihotapijo vedenje, ki ga nihče ne opazi, dokler se ne spremeni. Odjemalec s redirect-gateway def1 pošilja vse brskanje skozi strežnik; premaknite ga v namestitev brez te vrstice, in pritožba bo, da se je internet pokvaril. Neujemanje CA ali napačna nastavitev remote-cert-tls spodleti glasno, kar je dober izid. Manjkajoč ključ tls-crypt spodleti kot tiha časovna omejitev, kar ni dobro.

Kaj ima upravljalna plast

Preštejte, kar ni protokol: ustvarjanje računov, ponastavitev gesel, dodeljevanje skupin, vpis v MFA, pravice do povezovanja in revizijska sled, ki odgovori, kdo in kdaj se je povezal. Community Edition ničesar od tega ne ponuja neposredno. Izberete backend preverjanja, povežete PAM, LDAP ali RADIUS prek vtičnika ali auth-user-pass-verify, ostalo pa vzdržujete sami. Access Server dobavi uporabniški portal, skrbniško konzolo in integracije s pogostimi ponudniki identitete. Nobena od obeh ureditev ni privzeto varnejša, ker mora politiko še vedno napisati nekdo, ki pozna omrežje.

Pravice so najostrejša operativna razlika. Access Server se licencira po številu hkratnih povezav in to število uveljavlja v programski opremi. V Community Edition je globalna omejitev ena sama vrstica max-clients, medtem ko vse po uporabniku ali skupini pomeni več dela z client-config-dir in vaše lastno uveljavljanje. Ekipa brez volje do tega vzdrževanja kupi natanko to, ko plača za komercialni izdelek.

Licenciranje in podpora: postavka, ki je nihče ne načrtuje v proračunu

Community Edition je brezplačen in odprte kode. Access Server je komercialen, njegova brezplačna raven pa je v preteklosti pokrivala majhno število hkratnih povezav, nad tem pa velja plačana licenca. Vsaka številka iz starega odgovora na forumu je zdaj zastarela, zato preverite trenutne pogoje ponudnika, preden kalkulirate projekt. Poštena primerjava doda ure, porabljene za gradnjo upravljanja uporabnikov, MFA in spremljanja na strani skupnosti, k vrstici licence na komercialni strani.

Lastništvo podpore sledi isti delitvi. S Community Edition ste pot nadgradnje za vsakega nenavadnega odjemalca in vsako posodobitev jedra. Z Access Server imate ponudnika, ki ga lahko pokličete, in podedujete njegov ritem izdaj, ne glede na to, ali ustreza vašemu oknu sprememb.

Preverjanja pred prehodom

Pred prehodom v katero koli smer popišite, kaj tekoči strežnik v resnici hrani. Na strani Access Server izvozite seznam uporabnikov in dodelitve skupin ter zabeležite, kateri računi se opirajo na MFA. Na strani Community Edition naštejte izdana potrdila, CRL in vsako datoteko pod client-config-dir. Primerjajte oba seznama vrstico za vrstico, ker je razlika med njima migracijsko delo.

Preizkusite reprezentativne odjemalce, medtem ko stara storitev še teče. openvpn --config client.ovpn --verb 4 v ospredju izpiše rokovanje, poslane poti in možnosti DNS, openssl x509 -in client.crt -noout -subject -enddate pa pokaže, katero potrdilo odjemalec v resnici predloži. Odjemalec, ki se poveže, a ne doseže notranjega gostitelja, ima vrzel v poti ali v iroute, ne napake preverjanja.

Ohranite staro pot obnove živo, dokler zamenjava ne prestane testa zavrnjenega dostopa in uspešnega. Zapišite končni zemljevid na eno stran: vsaka zahteva, artefakt, ki jo izpolnjuje danes, in artefakt, ki jo bo izpolnil pozneje.