OpenVPN Access Server kundrejt Community: çfarë migron në të vërtetë

Profilet migrojnë; listat e përdoruesve mbeten. Një ekip që kalon mes Access Server dhe Community Edition ndeshet me atë hendek një orë pas kalimit, kur klienti i tij i parë vërtetohet dhe më pas nuk ka politikë grupi, as rrugë për përdorues, as rivendosje fjalëkalimi vetë-shërbimi. Të dy produktet flasin të njëjtin protokoll dhe pranojnë të njëjtin klient, dhe pikërisht për këtë hendeku mbetet i padukshëm gjatë planifikimit. Ajo që zgjidhni në të vërtetë është shtresa e menaxhimit dhe njerëzit që e zotërojnë atë.

Trajtojeni vendimin si pyetje inventari, jo si tabelë funksionesh. Pyetni kush krijon përdorues, kush revokon certifikata dhe kush përgjigjet telefonatës në orën 02:00.

Pse skedari .ovpn nuk e mbart konfigurimin

Një profil .ovpn përshkruan marrëdhënien e një klienti me një server: hostin e largët, protokollin, CA-në, një certifikatë dhe çelës klienti, dhe çdo material tls-crypt të integruar. Hidhni atë skedar në një instalim të ri dhe klienti përsëri përfundon një shtrëngim duarsh, kështu që migrimi duket i përfunduar. Asgjë në të nuk rendit përdoruesit, grupet e tyre, rrugët e tyre statike ose politikën që vendoste kujt i lejohej fare të lidhej. Ato regjistrime jetojnë në ruajtësen e vetë serverit, dhe të dy produktet i ruajnë në forma të ndryshme.

Në Community Edition ekuivalentët janë skedarë që i mbani vetë: hyrje client-config-dir me opsione për çdo klient si ifconfig-push dhe iroute, një CRL për revokimet dhe çelësi tls-crypt. Access Server mban të njëjtat koncepte në bazën e vet të të dhënave dhe i ekspozon përmes një konsolle web dhe mjetit të rreshtit të komandës sacli. Konceptet përputhen një me një; artefaktet nuk lëvizin fare.

Profilet gjithashtu kontrabandojnë sjellje që askush nuk e vë re derisa të ndryshojë. Një klient me redirect-gateway def1 dërgon gjithë shfletimin përmes serverit; zhvendoseni në një ndërtim pa atë rresht dhe ankesa do të jetë se interneti u prish. Një mospërputhje CA ose një konfigurim i gabuar remote-cert-tls dështon me zë, që është rezultati i mirë. Një çelës tls-crypt që mungon dështon si skadim i heshtur, që nuk është i mirë.

Çfarë zotëron shtresa e menaxhimit

Numëroni atë që nuk është protokoll: krijimi i llogarive, rivendosja e fjalëkalimeve, caktimi në grupe, regjistrimi MFA, të drejtat e lidhjes dhe gjurma e auditimit që përgjigjet kush u lidh dhe kur. Community Edition nuk ofron asgjë nga këto drejtpërdrejt. Ju zgjidhni një backend vërtetimi, lidhni PAM, LDAP ose RADIUS përmes një shtojce ose auth-user-pass-verify, dhe mirëmbani pjesën tjetër vetë. Access Server ofron një portal përdoruesi, një konsol administrimi dhe integrime me ofrues identiteti të zakonshëm. Asnjë nga dy rregullimet nuk është më i sigurt si parazgjedhje, sepse politika duhet ende të shkruhet nga dikush që e njeh rrjetin.

Të drejtat janë ndryshimi operacional më i mprehtë. Access Server licencohet sipas numrit të lidhjeve të njëkohshme dhe e zbaton atë numër në softuer. Në Community Edition, një kufi global është një rresht i vetëm max-clients, ndërsa çdo gjë për përdorues ose për grup do të thotë më shumë punë me client-config-dir dhe zbatimin tuaj. Një ekip pa dëshirë për atë mirëmbajtje blen pikërisht atë kur paguan për produktin komercial.

Licencimi dhe mbështetja: zëri që askush nuk e buxheton

Community Edition është falas dhe me burim të hapur. Access Server është komercial, dhe niveli i tij falas historikisht ka mbuluar një numër të vogël lidhjesh të njëkohshme, me një licencë me pagesë mbi atë. Çdo shifër e cituar në një përgjigje të vjetër forumi është tashmë e vjetruar, prandaj kontrolloni kushtet aktuale të furnizuesit përpara se të llogaritni koston e projektit. Krahasimi i ndershëm shton orët e shpenzuara për ndërtimin e menaxhimit të përdoruesve, MFA dhe monitorimit në anën e komunitetit në rreshtin e licencës në anën komerciale.

Pronësia e mbështetjes ndjek të njëjtën ndarje. Me Community Edition ju jeni rruga e eskalimit për çdo klient të çuditshëm dhe çdo përditësim kerneli. Me Access Server keni një furnizues për të telefonuar, dhe trashëgoni ritmin e tij të publikimeve, pajtohet apo jo me dritaren tuaj të ndryshimeve.

Kontrollet para kalimit

Bëni inventarin e asaj që mban vërtet serveri në punë përpara kalimit në cilindo drejtim. Në anën e Access Server eksportoni listën e përdoruesve dhe caktimet e grupeve dhe shënoni cilat llogari mbështeten në MFA. Në anën e Community Edition renditni certifikatat e lëshuara, CRL-në dhe çdo skedar nën client-config-dir. Krahasoni dy listat rresht për rresht, sepse ndryshimi mes tyre është puna e migrimit.

Testoni klientë përfaqësues ndërsa shërbimi i vjetër është ende në punë. openvpn --config client.ovpn --verb 4 në plan të parë printon shtrëngimin e duarve, rrugët e shtyra dhe opsionet DNS, dhe openssl x509 -in client.crt -noout -subject -enddate tregon se cilën certifikatë klienti paraqet në të vërtetë. Një klient që lidhet por nuk arrin një host të brendshëm ka një hendek rruge ose iroute, jo një dështim vërtetimi.

Mbani gjallë rrugën e vjetër të rikuperimit derisa zëvendësuesi të kalojë një provë të aksesit të refuzuar si dhe një të suksesshme. Shkruani hartën përfundimtare në një faqe: çdo kërkesë, artefakti që e plotëson sot dhe artefakti që do ta plotësojë më pas.