Vi använder OpenVPN: protokoll, motor eller app? Vad man bör fråga i stället

Meningen «vi använder OpenVPN» dyker upp i ärenden, inköpsformulär och dokument för nyanställda, och i var och en av dem svarar den på en annan fråga. Ibland betecknar den ett transportprotokoll, ibland programvaran på en gateway och ibland appen som en nyanställd ska installera. Dessa tre fakta leder till olika nästa steg, och att fråga vilken som avses tar kortare tid än att gissa. Resten av utredningen följer av det svaret.

Börja med att skilja rollen från varumärket, eftersom varumärket täcker alla tre.

Namnet täcker tre roller som misslyckas på olika sätt

Som protokoll beskriver OpenVPN hur kompatibla parter upprättar en tunnel och skyddar det som passerar genom den. Som programvara är det en implementation som talar det protokollet i en klient- eller serverroll. Som klient är det ett program som någon installerar, med egen version, eget profilformat och egna plattformsegenheter. Ett fel i en roll innebär inte ett fel i en annan, och därför behöver «OpenVPN är nere» ett subjekt.

Fråga vad den som anmäler kan se: en profilfil, ett installerat program eller en gateway som personen administrerar. Den enda detaljen säger dig om nästa steg är en klientlogg, en fråga om paketet eller en lyssnarkontroll på serversidan.

OpenVPN 2 och OpenVPN 3 är inte ett uppgraderingspar

OpenVPN 2.x körs både i server- och klientrollen, och det är den som de flesta gateway-utrullningar fortfarande använder. OpenVPN 3 är en separat klientorienterad implementation med egen konfiguration och egen sessionsmodell, inte nästa utgåva som du installerar ovanpå en 2.x-server. OpenVPN Connect är ett klientprogram byggt på OpenVPN 3-motorn. Att installera någon av dem skapar inte en internetutgångstjänst; utgången är det som operatören har konfigurerat.

Kompatibilitet på protokollnivå sträcker sig inte till profildirektiv, så en profil som importeras rent kan ändå misslyckas på ett direktiv som klienten inte implementerar.

Transporten är inte programmet inuti den

Den yttre anslutningen använder en transport som UDP eller TCP för att nå en konfigurerad lyssnare, och allt tunneln bär går inuti den. En webbförfrågan som görs via VPN:et behöver ingen egen OpenVPN-lyssnare och blir inte ett OpenVPN-paket på tråden. I TLS-läge förhandlar kontrollkanalen nyckelmaterial medan datakanalen skyddar nyttolasten, och det är en uppdelning som är värd att hålla rätt när du läser loggar.

Att blanda ihop lagren ger förfrågningar som att öppna en port för en webbplats som redan fungerar genom tunneln. Porten tillhör den yttre anslutningen, inte programmet.

Vad en profil kan lova och vad den inte kan

En profil berättar för en klient hur den når en tjänst: slutpunkt, transport, identitetsmaterial och ofta några routing- och DNS-inställningar. Den säger ingenting om vem som driver den tjänsten eller om kontot är auktoriserat. Rutter, resolverinställningar, vidarebefordringsregler och åtkomstpolicy avgör vad sessionen faktiskt når. En profil som importeras framgångsrikt är början på en fungerande anslutning, inte beviset för den.

När någon frågar om en resurs går att nå via VPN:et beror svaret på serverns policy och inte på klientens konfigurationsfil.

Be om det som kan tillhandahållas

Gör om det breda namnet till tre konkreta saker: klienten och dess version, den auktoriserade profilen för den klienten och resursen som personen behöver nå. Med dem är tillhandahållandet en konkret uppgift. Utan dem är varje svar en gissning om vilken OpenVPN frågan menade.

Skriv ner svaret i själva förfrågan. Nästa ärende kommer att ställa samma fråga på samma tvetydiga sätt.