OpenVPN Access Server наспрам Community: шта се заиста преноси

Профили се преносе; листе корисника остају. Тим који прелази између Access Server и Community Edition сусреће тај јаз сат времена након преласка, када се његов први клијент аутентификује и затим нема групну политику, нема руту по кориснику и нема самоуслужно ресетовање лозинке. Оба производа говоре исти протокол и прихватају истог клијента, и управо зато јаз остаје невидљив током планирања. Оно што заправо бирате јесте слој за управљање и људи који га поседују.

Третирајте одлуку као питање инвентара, а не као табелу функција. Питајте ко креира кориснике, ко опозива сертификате и ко одговара на позив у 02:00.

Зашто .ovpn датотека не носи подешавање

.ovpn профил описује однос једног клијента са једним сервером: удаљени домаћин, протокол, CA, клијентски сертификат и кључ, и сав уграђени tls-crypt материјал. Баците ту датотеку у нову инсталацију и клијент ипак заврши руковање, па миграција изгледа завршена. Ништа у њој не наводи кориснике, њихове групе, њихове статичке руте или политику која је одлучивала коме је уопште дозвољено повезивање. Ти записи живе у сопственом складишту сервера, а оба производа их чувају у различитим облицима.

У Community Edition еквиваленти су датотеке које сами држите: уноси client-config-dir са опцијама по клијенту као што су ifconfig-push и iroute, CRL за опозиве и кључ tls-crypt. Access Server држи исте концепте у сопственој бази података и излаже их кроз веб конзолу и алат командне линије sacli. Концепти се пресликавају један на један; артефакти се уопште не преносе.

Профили такође кријумчаре понашање које нико не примети док се не промени. Клијент са redirect-gateway def1 шаље целокупно претраживање кроз сервер; преместите га у инсталацију без тог реда и жалба ће бити да се интернет покварио. Неусаглашеност CA или погрешна поставка remote-cert-tls пада гласно, што је добар исход. Недостајући кључ tls-crypt пада као тихи истек времена, што није добро.

Шта поседује слој за управљање

Пребројте оно што није протокол: креирање налога, ресетовање лозинки, додела група, упис у MFA, права на повезивање и ревизијски траг који одговара ко се када повезао. Community Edition ништа од тога не нуди директно. Ви бирате позадину аутентификације, повезујете PAM, LDAP или RADIUS кроз додатак или auth-user-pass-verify, и сами одржавате остало. Access Server испоручује кориснички портал, административну конзолу и интеграције са уобичајеним добављачима идентитета. Ниједно решење није безбедније по дифолту, јер политику ипак мора да напише неко ко познаје мрежу.

Права на повезивање су најоштрија оперативна разлика. Access Server се лиценцира по броју истовремених веза и тај број спроводи софтверски. У Community Edition глобални лимит је један ред max-clients, док све по кориснику или групи значи више рада са client-config-dir и ваше сопствено спровођење. Тим без воље за то одржавање купује управо то када плаћа комерцијални производ.

Лиценцирање и подршка: ставка коју нико не планира у буџету

Community Edition је бесплатан и отвореног кода. Access Server је комерцијалан, а његов бесплатни ниво историјски је покривао мали број истовремених веза, са плаћеном лиценцом изнад тога. Сваки број из старог одговора на форуму данас је застарео, па проверите тренутне услове добављача пре него што израчунате трошак пројекта. Искрено поређење додаје сате утрошене на изградњу управљања корисницима, MFA и надзора на страни заједнице на ставку лиценце на комерцијалној страни.

Власништво над подршком следи исту поделу. Са Community Edition ви сте пут ескалације за сваког необичног клијента и свако ажурирање језгра. Са Access Server имате добављача ког можете позвати и наслеђујете његов ритам издања, без обзира на то да ли одговара вашем прозору промена.

Провере пре преласка

Направите инвентар онога што покренути сервер заиста држи пре преласка у било ком смеру. На страни Access Server извезите листу корисника и доделе група и забележите који се налози ослањају на MFA. На страни Community Edition наведите издате сертификате, CRL и сваку датотеку под client-config-dir. Упоредите две листе ред по ред, јер разлика међу њима је посао миграције.

Тестирајте репрезентативне клијенте док стара услуга још ради. openvpn --config client.ovpn --verb 4 у предњем плану исписује руковање, послате руте и DNS опције, а openssl x509 -in client.crt -noout -subject -enddate показује који сертификат клијент заиста представља. Клијент који се повеже али не може да дође до интерног домаћина има јаз у рути или у iroute, а не неуспех аутентификације.

Држите стари пут опоравка живим док замена не прође и тест одбијеног приступа као и успешни. Запишите коначну мапу на једној страници: сваки захтев, артефакт који га задовољава данас и артефакт који ће га задовољити после.