OpenVPN Access Server kontra Community: vad som faktiskt flyttas

Profiler flyttar med; användarlistor blir kvar. Ett team som växlar mellan Access Server och Community Edition möter den luckan en timme in i övergången, när dess första klient autentiserar och sedan inte har någon gruppolicy, ingen rutt per användare och ingen självbetjäning för lösenordsåterställning. Båda produkterna talar samma protokoll och accepterar samma klient, och just därför förblir luckan osynlig under planeringen. Det du faktiskt väljer är administrationslagret och människorna som äger det.

Behandla beslutet som en inventeringsfråga, inte en funktionstabell. Fråga vem som skapar användare, vem som återkallar certifikat och vem som svarar på telefonen klockan 02:00.

Varför .ovpn-filen inte bär med sig konfigurationen

En .ovpn-profil beskriver en klients förhållande till en server: fjärrvärden, protokollet, CA:n, ett klientcertifikat och en nyckel, samt eventuellt inbäddat tls-crypt-material. Släpp den filen i en ny installation och klienten genomför ändå ett handskakning, så migreringen ser klar ut. Inget i den listar användarna, deras grupper, deras statiska rutter eller policyn som avgjorde vem som alls fick ansluta. Dessa poster bor i serverns eget lager, och de två produkterna lagrar dem i olika former.

I Community Edition är motsvarigheterna filer du själv håller: client-config-dir-poster med alternativ per klient som ifconfig-push och iroute, en CRL för återkallelser och tls-crypt-nyckeln. Access Server håller samma begrepp i sin egen databas och exponerar dem via en webbkonsol och kommandoradsverktyget sacli. Begreppen svarar ett till ett; artefakterna flyttas inte alls.

Profiler smugglar också in beteende som ingen märker förrän det ändras. En klient med redirect-gateway def1 skickar all surfning genom servern; flytta den till en installation utan den raden och klagomålet blir att internet gick sönder. En CA-avvikelse eller en felaktig remote-cert-tls-inställning misslyckas högljutt, vilket är det goda utfallet. En saknad tls-crypt-nyckel misslyckas som en tyst tidsgräns, vilket inte är det.

Vad administrationslagret äger

Räkna det som inte är protokoll: kontoskapande, lösenordsåterställning, grupptilldelning, MFA-registrering, anslutningsrättigheter och revisionsspåret som svarar på vem som anslöt när. Community Edition levererar inget av detta direkt. Du väljer en autentiseringsbackend, kopplar in PAM, LDAP eller RADIUS via en plugin eller auth-user-pass-verify, och underhåller resten själv. Access Server levererar en användarportal, en administrationskonsol och integrationer mot vanliga identitetsleverantörer. Ingen av uppläggen är säkrare som standard, eftersom policyn fortfarande måste skrivas av någon som känner nätet.

Rättigheter är den skarpaste operativa skillnaden. Access Server licensieras efter antalet samtidiga anslutningar och tillämpar det antalet i programvara. I Community Edition är en global gräns en enda max-clients-rad, medan allt per användare eller per grupp innebär mer client-config-dir-arbete och din egen tillämpning. Ett team utan lust för det underhållet köper just det när det betalar för den kommersiella produkten.

Licensiering och support: posten ingen budgeterar för

Community Edition är gratis och öppen källkod. Access Server är kommersiell, och dess gratissnivå har historiskt täckt ett litet antal samtidiga anslutningar med en betald licens därutöver. Varje siffra från ett gammalt forumssvar är inaktuell nu, så kontrollera leverantörens aktuella villkor innan du kostnadsberäknar projektet. Den ärliga jämförelsen lägger timmarna som läggs på att bygga användaradministration, MFA och övervakning på gemenskapssidan till licensraden på den kommersiella sidan.

Supportägandet följer samma uppdelning. Med Community Edition är du eskaleringsvägen för varje udda klient och varje kärnuppdatering. Med Access Server har du en leverantör att ringa, och du ärver deras utgivningstakt, oavsett om den passar ditt ändringsfönster eller inte.

Kontroller före övergången

Inventera vad den körande servern faktiskt håller innan övergången i båda riktningarna. På Access Server-sidan exporterar du användarlistan och grupptilldelningarna och noterar vilka konton som förlitar sig på MFA. På Community Edition-sidan listar du de utfärdade certifikaten, CRL:en och varje fil under client-config-dir. Jämför de två listorna rad för rad, eftersom skillnaden mellan dem är migreringsarbetet.

Testa representativa klienter medan den gamla tjänsten fortfarande körs. openvpn --config client.ovpn --verb 4 i förgrunden skriver ut handskakningen, de pushade rutterna och DNS-alternativen, och openssl x509 -in client.crt -noout -subject -enddate visar vilket certifikat klienten faktiskt presenterar. En klient som ansluter men inte når en intern värd har en rutt- eller iroute-lucka, inte ett autentiseringsfel.

Håll den gamla återställningsvägen vid liv tills ersättningen klarar både ett test med nekad åtkomst och ett lyckat. Skriv den slutliga kartan på en sida: varje krav, artefakten som uppfyller det i dag och artefakten som kommer att uppfylla det efteråt.