SSTP proti OpenVPN: ista vrata 443, drug protokol

Obe možnosti lahko stojita za TCP 443, zato ljudje domnevajo, da sta zamenljivi končni točki. Nista: SSTP strežnik govori PPP znotraj HTTPS, medtem ko strežnik OpenVPN govori svoj protokol prek TLS ali surovega toka UDP. Usmerjanje enega odjemalca na vrata drugega ustvari povezavo, ki nikoli ne doseže poziva za prijavo. Izbira se nanaša na to, katerega odjemalca in kakšen prenos lahko podprete, ne na številko.

Skupna vrata ne naredijo skupnega protokola

Rokovanje TLS se lahko konča in vseeno ne vodi nikamor, ker se odjemalec in strežnik nato ne strinjata, kaj reči naprej. V zajemu paketov vidite čisto rokovanje, ki mu sledijo aplikacijski podatki, ki jih druga stran zavrne ali prezre. Ta vzorec je podpis neujemanja protokolov, ne blokade požarnega zidu.

Niti preimenovan profil niti drug vnos v meniju ne spremeni enega v drugega. Povezava SSTP se ustvari v nastavitvah VPN v Windowsu z naslovom strežnika in podatki za preverjanje pristnosti operaterja, medtem ko povezava OpenVPN potrebuje odjemalca in ustrezno konfiguracijsko datoteko. Specifikacija SSTP družbe Microsoft opisuje prvo in ne opisuje rokovanja OpenVPN.

Vrata 443 so priročnost politike. Preidejo skozi omrežja, ki dovoljujejo malo drugega, in to je resnična prednost, vendar ne povedo ničesar o tem, kateri protokol teče za njimi.

SSTP tunelira PPP znotraj HTTPS

Ime opisuje zgradbo: okviri PPP, preneseni v seji HTTPS, kar pomeni TLS spodaj in potrdilo, ki ga odjemalec lahko preveri. Windows to vključuje kot izvorni tip VPN, zato se upravljani prenosnik pogosto lahko poveže brez dodatne programske opreme razen profila, ki ga zagotovi operater.

Druge platforme so druga zgodba. Odjemalec za Linux ali macOS potrebuje vzdrževano izvedbo, te pa se razlikujejo v tem, kaj podpirajo in kako poročajo napake. Preverite odjemalca, ki ga res nameravate uporabiti, namesto da predpostavljate, da se bo vgrajena zmožnost Windows prenesla, in potrdite, da se ime strežnika v profilu ujema s potrdilom, ki ga strežnik predstavi.

SSTP je običajno samo TCP. Ta en sam prenos vpliva na vedenje na povezavi z izgubami, ker se ponovno pošiljanje dogaja znotraj tunela in pod njim.

OpenVPN prinese svojega odjemalca in izbiro prenosa

OpenVPN zagotovi svojega odjemalca in profil, kar vam da diagnostiko, ki je izvorni pogovor Windows ne razkrije. Strežnik lahko posluša na UDP ali TCP, konfiguracija operaterja pa odloči, katerega mora uporabiti vaš odjemalec. Profil, usmerjen na napačen prenos, spodleti pred preverjanjem pristnosti.

Preverjanje pristnosti je enako odvisno od konfiguracije. Namestitev lahko zahteva samo potrdila, potrdila skupaj z uporabniškim imenom in geslom ali drugi dejavnik povrh, odjemalec pa se mora natančno ujemati s to ureditvijo. To, da povezava doseže stopnjo TLS, ne pove, katere poverilnice bo zahtevala naprej.

UDP je običajna privzeta vrednost, ker se izogne gnezdenju zanesljivega toka v drug zanesljiv tok. Način TCP obstaja za omrežja, ki blokirajo UDP, in deluje, vendar lahko velike izgube povzročijo, da se občuti slabše od poti UDP, ki jo je nadomestil. Izberite TCP, ko morate, ne zato, ker zveni bolj zanesljivo.

Izberite glede na odjemalca, prenos in podporo

Tri vprašanja razrešijo večino teh odločitev. Ali vsaka odjemalska naprava potrebuje povezavo, ki deluje brez dodatne programske opreme? Ali omrežje, na katero se zanašate, dovoljuje UDP, ali so TCP 443 edini izhod? In kdo podpira odjemalca, njegove posodobitve in obnovitev, ko profil poteče?

Ko primerjate oba, preizkusite na isti napravi in v istem dostopovnem omrežju. Če sta končna točka SSTP in končna točka OpenVPN različna strežnika ali različni lokaciji, vaš rezultat vključuje te poti in stroje, namesto da bi izoliral protokol. To je najpogostejši način, kako takšne primerjave dajo samozavesten, a napačen odgovor.

Nato potrdite, katero ste dejansko vzpostavili, preden karkoli drugega razhroščujete:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Ne glede na vse, končajte s preizkusom vira in DNS, ki ju potrebujete, namesto da razglasite uspeh v stanju tunela. Oba protokola je mogoče nastaviti tako, da prenašata le izbran zasebni promet, povezan tunel brez delujočega razreševanja imen pa je videti kot pokvarjen VPN, ko je v resnici zasnova razdeljenega tunela ali DNS.

V upravljani floti distribucija profilov in podpora posodobitvam običajno odločita vprašanje veliko prej kot kakršna koli meritev prenosa.