OpenVPN ose IKEv2: katër kontrolle përpara se të zgjidhni një protokoll

Zgjedhja midis OpenVPN dhe IKEv2 zakonisht diskutohet si çështje protokolli, dhe ky kornizë e shpenzon vendimin. Ajo që vendos është nëse serveri dhe pajisjet tuaja mbështesin të njëjtin profil të plotë, dhe nëse ai profil i reziston mënyrës se si lëvizni midis rrjeteve. Dy stakat nuk përkthehen në njëra-tjetrën: një skedar OVPN nuk është profil IKEv2 me sintaksë tjetër. Katër kontrolle, të kryera me radhë, i përgjigjen pyetjes më shpejt se çdo tabelë veçorish.

Një klient që mungon e mbyll diskutimin

Windows dhe macOS vijnë me një klient IKEv2, kështu që një profil IKEv2 nuk kushton asgjë shtesë për t'u vendosur atje dhe trashëgon opsionet e përgatitjes që sistemi operativ tashmë ofron. OpenVPN në të njëjtat makina do të thotë një klient i palëve të treta për t'u instaluar, përditësuar dhe mbështetur, dhe ai klient duhet të pranojë çdo opsion që përdor profili. Numëroni platformat që duhet të mbuloni përpara se të krahasoni çdo gjë tjetër, sepse një platformë pa klient funksional nuk është fare pikë krahasimi.

Në Windows një komandë liston profilet që ekzistojnë tashmë dhe tregon çfarë lloji është secili. Emri që shtyp është emri që përdorin kontrollet e mëvonshme.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Kërkesa për të instaluar një klient është përgjigjja e vërtetë për kolonën OpenVPN në ato platforma, dhe është detyrë vendosjeje dhe jo kufizim i protokollit. Asnjë nga rregullimet nuk heq kontrollet e besimit, verifikimin e identitetit ose mirëmbajtjen. Pyesni si shpërndahen profilet, si përtërihen kredencialet dhe si hiqet një pajisje e humbur përpara se të angazhoheni. Një instalim i thjeshtë mund të fshehë ende një procedurë rikuperimi që askush nuk dëshiron ta ekzekutojë në fundjavë.

Lëvizshmëria është një cilësim i përbashkët, jo premtim protokolli

IKEv2 mund të përdorë MOBIKE kur të dy skajet e mbështesin dhe e aktivizojnë, gjë që i lejon klientit të mbajë tunelin ndërsa adresa e tij ndryshon. RFC 4555 përcakton shtrirjen, dhe formulimi i kushtëzuar ka rëndësi: një server që e injoron këtë aftësi rinegocion në vend të kësaj. Rezultati mund të duket identik për një transferim skedari dhe shumë i ndryshëm për një thirrje të drejtpërdrejtë.

Testoni tranzicionin që ju intereson vërtet, me diçka që punon dhe që mund ta vëzhgoni. Lërini ping -t <internal-host> të punojë në Windows, ose ping të thjeshtë diku tjetër, pastaj kaloni nga Wi-Fi në rrjet celular dhe vëzhgoni ndërprerjet. Një dështim i MOBIKE shfaqet si riautentikim i plotë në regjistrin e klientit, jo si përditësim i qetë i adresës. Ajo që po matni është nëse tuneli i reziston ndryshimit, jo nëse protokolli reklamon mbështetje.

Klientët e OpenVPN rilidhen sipas sjelljes së platformës së tyre dhe kohëmatësve të profilit, kështu që i njëjti test mund të prodhojë një formë tjetër ndërprerjeje. Krahasoni ngjarjen që ka rëndësi për përdoruesit tuaj, jo etiketën mbi protokollin.

Kredencialet i përkasin shërbimit, jo stakut

Certifikatat dhe rregullimet e tjera të hyrjes i përkasin shërbimit që e përfundon lidhjen. Një kërkesë për fjalëkalim në një klient nuk thotë asgjë për përputhshmërinë me një tjetër, dhe një profil që punon me një portë tjetër nuk thotë asgjë për këtë. Mbajini rregullat e identitetit të serverit të paprekura ndërsa krahasoni dy stakat. Ndryshimi i protokolleve përpara se ta identifikoni dështimin zakonisht prodhon një profil të dytë të papërputhshëm.

Inspektoni kredencialin që klienti do të paraqesë përpara se të fajësoni cilindo protokoll, sepse një certifikatë e skaduar ose e lëshuar gabimisht dështon njësoj në të dyja. Rezultati më poshtë tregon subjektin, lëshuesin dhe datat e vlefshmërisë pa lexuar çelësin privat.

openssl x509 -in client.crt -noout -subject -issuer -dates

Për një lidhje kompanie, përdorni metodën që publikon kompania dhe ndaloni trajtimin e krahasimit si eksperiment. Nëse po i krahasoni të dy vetë, së pari kontrolloni nëse të dy opsionet përfundojnë në një portë të vetme, sepse ai detaj i vetëm vendos sa e rezultatit tuaj ka të bëjë me protokollin. Një refuzim që emërton kredencialin është problem kredenciali, dhe asnjë sasi ndryshimi protokolli nuk e rregullon.

Kontrolloni çfarë rrugëton tuneli në të vërtetë

Pas lidhjes, konfirmoni se rruga që ju nevojitet ekziston dhe se emrat zgjidhen. Një profil që ekziston për burime të brendshme mund ta lërë qëllimisht shfletimin e zakonshëm në rrugën lokale, dhe ky është vendim politike, jo defekt. Ajo që ka rëndësi është nëse destinacionet që përdor ekipi juaj arrihen përmes tunelit.

Në Windows dy komanda mbulojnë rrugën dhe kërkimin e emrit. Ekuivalentët në Linux janë ip route show default dhe resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Një tunel që ngrihet dhe nuk rrugëton asgjë të dobishme është rezultat i zakonshëm kur një profil u kopjua midis shërbimeve, dhe një test i përgjithshëm lidhshmërie nuk e tregon atë sepse ndërfaqja është e ngritur. Testoni burimin që përdoruesit tuaj hapin i pari, jo një adresë publike që çdo rrugë mund ta arrijë. Nëse emri zgjidhet në një adresë publike ndërsa rruga tregon brenda tunelit, përgjigjja e DNS-së dhe rruga i përkasin vendimeve të ndryshme dhe të dyja duhen rregulluar.

Pas kontrolleve peshoni mirëmbajtjen

Asnjë protokoll nuk është më i mirëmbajtshëm në kuptim abstrakt. Mirëmbajtja varet nga kush e operon portën, si arrijnë profilet në pajisje dhe sa shpejt një pajisje e humbur e humb aksesin. Një klient i thjeshtë skaji mund të qëndrojë përpara një serveri më të vështirë për t'u operuar, dhe e kundërta gjithashtu ndodh. Pyesni se cilin nga të dy ekipi juaj mund ta mbajë në punë pasi personi që e ndërtoi të largohet.

Zgjidhni lidhjen e mbështetur që mbulon punën, më pas testojeni kundrejt aksesit që ju nevojitet vërtet, jo kundrejt një liste veçorish. Regjistroni se në cilën portë përfundon çdo opsion, sepse dy porta të ndryshme e bëjnë krahasimin po aq çështje rrugësh sa protokollesh. Përsëritni katër kontrollet në pajisjen që vërtet do të mbani dhe mbani profilin që kalon në të.