Користимо OpenVPN: протокол, машина или апликација? Шта питати уместо тога

Реченица «користимо OpenVPN» долази у тикетима, обрасцима за набавку и документима за нове запослене, и у сваком од њих одговара на друго питање. Понекад именује протокол преноса, понекад софтвер на мрежном пролазу, а понекад апликацију коју нови запослени треба да инсталира. Ове три чињенице воде ка различитим следећим корацима, а питање која је од њих мишљена траје краће од нагађања. Остатак истраге следи из тог одговора.

Почните одвајањем улоге од бренда, јер бренд покрива све три.

Назив покрива три улоге које отказују на различите начине

Као протокол OpenVPN описује како компатибилни партнери успостављају тунел и штите оно што кроз њега пролази. Као софтвер то је имплементација која говори тај протокол у улози клијента или сервера. Као клијент то је апликација коју неко инсталира, са сопственом верзијом, форматом профила и особеностима платформе. Отказ у једној улози не значи отказ у другој, зато реченица «OpenVPN је пао» тражи субјекат.

Питајте шта пријављивач може да види: датотеку профила, инсталиран програм или пролаз којим управља. Тај један детаљ вам каже да ли је следећи корак клијентски дневник, питање о пакету или провера слушаоца на страни сервера.

OpenVPN 2 и OpenVPN 3 нису пар за надоградњу

OpenVPN 2.x ради и у серверској и у клијентској улози, и управо га већина постављања пролаза још користи. OpenVPN 3 је засебна имплементација окренута клијенту, са сопственом конфигурацијом и моделом сесије, а не следеће издање које инсталирате преко сервера 2.x. OpenVPN Connect је клијентска апликација изграђена на машини OpenVPN 3. Инсталирање било које од њих не ствара услугу излаза на интернет; излаз је оно што је оператер конфигурисао.

Компатибилност на нивоу протокола не протеже се на директиве профила, па профил који се чисто увезе ипак може да откаже на директиви коју клијент не имплементира.

Транспорт није апликација унутар њега

Спољна веза користи транспорт као што је UDP или TCP да достигне конфигурисани слушалац, и све што тунел носи путује унутар ње. Веб захтев упућен кроз VPN не треба сопствени OpenVPN слушалац и не постаје OpenVPN пакет на жици. У TLS режиму контролни канал преговара о кључном материјалу док податачни канал штити корисни терет, а то је раздвајање које вреди држати исправно кад читате дневнике.

Мешање слојева ствара захтеве попут отварања порта за веб страницу која већ ради кроз тунел. Порт припада спољној вези, не апликацији.

Шта профил може да обећа, а шта не

Профил говори једном клијенту како да достигне једну услугу: крајња тачка, транспорт, идентитетски материјал и често неке поставке рутирања и DNS-а. Он не говори ништа о томе ко управља том услугом или да ли је налог овлашћен. Руте, поставке разрешивача, правила прослеђивања и политика приступа одлучују шта сесија заиста достиже. Профил који се успешно увезе почетак је радне везе, а не доказ за њу.

Када неко пита да ли је ресурс доступан кроз VPN, одговор зависи од политике сервера, а не од конфигурационе датотеке клијента.

Тражите оно што се може обезбедити

Претворите широки назив у три конкретне ствари: клијент и његова верзија, овлашћени профил за тај клијент и ресурс до којег особа треба да стигне. Са њима је обезбеђивање конкретан задатак. Без њих сваки одговор је нагађање који је OpenVPN питање мислило.

Запишите одговор у самом захтеву. Следећи тикет ће поставити исто питање на исти двосмислен начин.