OpenVPN Access Server dhidi ya Community: kile kinachohama kweli

Profaili zinahama; orodha za watumiaji zinabaki. Timu inayobadilika kati ya Access Server na Community Edition inakutana na pengo hilo saa moja baada ya mabadiliko, wakati mteja wake wa kwanza anathibitisha na kisha hana sera ya kikundi, hakuna njia kwa kila mtumiaji na hakuna kuweka upya nenosiri la huduma binafsi. Bidhaa zote mbili zinaongea itifaki moja na zinakubali mteja mmoja, na ndiyo sababu pengo linabaki lisiloonekana wakati wa kupanga. Unachochagua kwa kweli ni tabaka la usimamizi na watu wanaolimiliki.

Chukulia uamuzi kama swali la hesabu ya vifaa badala ya jedwali la vipengele. Uliza nani anaunda watumiaji, nani anafuta vyeti na nani anajibu simu saa 02:00.

Kwa nini faili ya .ovpn haibebi usanidi

Profaili ya .ovpn inaeleza uhusiano wa mteja mmoja na seva moja: mwenyeji wa mbali, itifaki, CA, cheti na ufunguo wa mteja, na nyenzo yoyote ya tls-crypt iliyo ndani. Tupa faili hiyo kwenye usanidi mpya na mteja bado anamaliza kupeana mikono, kwa hiyo uhamishaji unaonekana umekamilika. Hakuna kitu ndani yake kinachoorodhesha watumiaji, vikundi vyao, njia zao zisizobadilika au sera iliyoamua nani ameruhusiwa kuunganisha kabisa. Kumbukumbu hizo zinaishi katika hifadhi ya seva yenyewe, na bidhaa hizo mbili zinazihifadhi kwa namna tofauti.

Katika Community Edition vipatanishi ni faili unazozishikilia mwenyewe: maingizo ya client-config-dir yenye chaguo kwa kila mteja kama ifconfig-push na iroute, CRL ya kufuta na ufunguo wa tls-crypt. Access Server huhifadhi dhana hizo hizo katika hifadhidata yake na kuzianika kupitia konsoli ya wavuti na kifaa cha mstari wa amri sacli. Dhana zinalingana moja kwa moja; vifaa havihami kabisa.

Profaili pia zinasafirisha kwa siri tabia ambayo hakuna anayeiona hadi ibadilike. Mteja aliye na redirect-gateway def1 hutuma uvinjari wote kupitia seva; hamishia kwenye usanidi usio na mstari huo na malalamiko yatakuwa kwamba mtandao umevunjika. Kutolingana kwa CA au mpangilio mbovu wa remote-cert-tls hushindwa kwa sauti kubwa, ambayo ni matokeo mazuri. Ufunguo wa tls-crypt unaokosekana hushindwa kama muda wa kupita kimya, na hilo si zuri.

Kile tabaka la usimamizi linamiliki

Hesabu kile ambacho si itifaki: uundaji wa akaunti, kuweka upya nenosiri, ugawaji wa vikundi, usajili wa MFA, haki za muunganisho na njia ya ukaguzi inayojibu nani aliunganisha lini. Community Edition haitoi kitu chochote kati ya hivi moja kwa moja. Unachagua mandhari ya uthibitishaji, unaunganisha PAM, LDAP au RADIUS kupitia programu jalizi au auth-user-pass-verify, na unabaki kudumisha mengine mwenyewe. Access Server hutoa lango la mtumiaji, konsoli ya utawala na miunganisho na watoa utambulisho wa kawaida. Hakuna mpangilio wowote ulio salama zaidi kwa chaguo-msingi, kwa sababu sera bado inapaswa kuandikwa na mtu anayejua mtandao.

Haki ni tofauti mkali zaidi ya uendeshaji. Access Server inapewa leseni kwa idadi ya miunganisho ya wakati mmoja na kutekeleza idadi hiyo kwa programu. Katika Community Edition, kikomo cha jumla ni mstari mmoja wa max-clients, wakati kitu chochote kwa mtumiaji au kikundi kinamaanisha kazi zaidi ya client-config-dir na utekelezaji wako mwenyewe. Timu isiyo na hamu ya matengenezo hayo inanunua hasa hilo inapolipa bidhaa ya kibiashara.

Leseni na usaidizi: mstari ambao hakuna anayeupanga katika bajeti

Community Edition ni bure na chanzo huria. Access Server ni ya kibiashara, na kiwango chake cha bure kihistoria kimefunika idadi ndogo ya miunganisho ya wakati mmoja na leseni inayolipiwa juu ya hiyo. Nambari yoyote iliyonukuliwa katika jibu la zamani la jukwaa sasa imepitwa na wakati, kwa hiyo angalia masharti ya sasa ya muuzaji kabla ya kukokotoa gharama ya mradi. Ulinganisho wa uaminifu unaongeza saa zilizotumika kujenga usimamizi wa watumiaji, MFA na ufuatiliaji upande wa jamii kwenye mstari wa leseni upande wa kibiashara.

Umiliki wa usaidizi unafuata mgawanyiko huo. Ukiwa na Community Edition wewe ndiye njia ya kupandisha kwa kila mteja wa ajabu na kila sasisho la kerneli. Ukiwa na Access Server una muuzaji wa kumpigia, na unarithi mdundo wake wa matoleo, ikilingana au isilingane na dirisha lako la mabadiliko.

Ukaguzi kabla ya mabadiliko

Fanya hesabu ya kile seva inayoendesha inashikilia kweli kabla ya mabadiliko katika mwelekeo wowote. Upande wa Access Server, hamisha orodha ya watumiaji na ugawaji wa vikundi na uangalie akaunti zipi zinategemea MFA. Upande wa Community Edition, orodhesha vyeti vilivyotolewa, CRL na kila faili iliyo chini ya client-config-dir. Linganisha orodha hizo mbili mstari kwa mstari, kwa sababu tofauti kati yao ni kazi ya uhamishaji.

Jaribu wateja wawakilishi wakati huduma ya zamani bado inaendesha. openvpn --config client.ovpn --verb 4 mbele huchapisha kupeana mikono, njia zilizotumwa na chaguo za DNS, na openssl x509 -in client.crt -noout -subject -enddate huonyesha cheti ambacho mteja anawasilisha kweli. Mteja anayeunganisha lakini hawezi kufikia mwenyeji wa ndani ana pengo la njia au la iroute, si kushindwa kwa uthibitishaji.

Weka njia ya zamani ya urejeshaji hai hadi mbadala apite jaribio la ufikiaji uliokataliwa pamoja na lile lililofanikiwa. Andika ramani ya mwisho kwenye ukurasa mmoja: kila hitaji, kifaa kinachokitimiza leo na kifaa kitakachokitimiza baadaye.