Inkommande VPN i Windows eller en OpenVPN-värd: välj på fem minuter

Windows kan ta emot en VPN-anslutning utan att något annat än operativsystemet är installerat, och det hjälper verkligen när två maskiner du äger behöver en tunnel för en eftermiddag. Den förblir användbar ungefär så länge. Den inbyggda lyssnaren har en fast protokollmeny, ingen policy per klient och ett beroende av ett skrivbord som någon kan stänga. Valet mellan den, en routerändpunkt och en OpenVPN-värd handlar om tre villkor, inte om tycke.

Vad den inbyggda lyssnaren egentligen är

Guiden för inkommande anslutning gör en arbetsstation till en liten ändpunkt för fjärråtkomst. Du väljer vilka lokala konton som får ringa in, hur adresser delas ut och vilket protokoll som är påslaget: PPTP, samt L2TP/IPsec eller SSTP där utgåvan och certifikatarbetet stöder dem.

Vad den inte är, är ett policylager. Det finns ingen ruttilldelning per användare, ingen serverpåtvingad delad tunnel och ingen åtskillnad mellan tunneln och arbetsstationens egen nätverksidentitet. En klient som ansluter landar i samma segment som arbetsstationen, under det segmentets brandväggsregler.

Just den sista punkten är den som måste vägas. Arbetsstationens egna portar, utdelningar och webbläsare är nu nåbara för alla som har kontot, och kontot är ett lokalt Windows-konto med allt annat det redan kan.

Tre villkor som avgör

Fråga hur länge åtkomsten måste vara, hur många som behöver den och om nätverket ens kan leverera protokollet.

Om svaret är en maskin, en person och några timmar på ett nätverk där du kontrollerar routern, är den inbyggda lyssnaren proportionerlig. Om åtkomsten måste överleva omstarter i en månad, betjäna fem kollegor med separata inloggningsuppgifter eller fungera från ett mobilnät som inte kan ta emot inkommande anslutningar, är den det inte. Om protokollet kräver IP-protokoll 47 i stället för en port kan nätverket vägra att leverera det, oavsett vad Windows stöder.

De tre svaren tar bort det mesta av diskussionen i en enda vända. Resten är implementeringsdetaljer.

Där en routerändpunkt vinner

En tunnel som avslutas på routern är det naturliga valet för permanent åtkomst. Routern är redan alltid på, den kan bära en tunnel mellan platser till ett annat kontor, och klienter behöver inget installerat om routern erbjuder protokollet de använder.

Begränsningen är firmware. Konsumentroutrar stöder ofta bara en del av det specifikationen tillåter, och en modell som annonserar VPN-stöd har kanske inte just det du hade planerat. Kontrollera funktionslistan för den installerade firmwaren, inte för produktfamiljen.

Där en OpenVPN-värd vinner

En OpenVPN-server på en liten maskin som alltid är på passar blandade klienter, flera användare med separata inloggningsuppgifter och nätverk där en enda utåtriktad port är skillnaden mellan att fungera och att blockeras. Den utfärdar en profil per klient, körs på alla stora plattformar och beter sig från klientsidan som en vanlig utgående applikation.

Den kräver också en ägare. Någon måste förnya certifikat, installera värdens uppdateringar och läsa loggen när en klient inte kan ansluta. Utan den personen förfaller en självhostad ändpunkt tyst till den dag den spelar roll.

Kontrollera vägen innan du lovar åtkomst

Det vanligaste skälet till att en Windows-lyssnare misslyckas är inte autentisering. Det är vägen: PPTP behöver inkommande TCP 1723 och GRE, vilket är protokoll 47 och inte en port, och många routrar vidarebefordrar bara portar. Vissa åtkomtnät tillåter inte inkommande anslutningar alls. Det enda faktumet utesluter den inbyggda lyssnaren på fler nätverk än någon Windows-inställning gör.

Testa vägen innan du konfigurerar konton, så att ett misslyckande har en kandidat i stället för tre:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

En stängd port på första raden är ett vidarebefordrings- eller leverantörsproblem, inte ett Windows-problem. Den tredje raden är kontrollen du skulle köra efter att ha valt OpenVPN, där en enda lyssnande UDP-port ersätter hela protokollfrågan.

Vilket alternativ du än väljer, lämna inte PPTP vänt mot internet som en långsiktig lösning; dess autentisering och kryptering är föråldrade. Och om det egentliga behovet är en enda webbapplikation är en omvänd proxy ett mindre svar än någon VPN.