OpenVPN Access Server กับ Community: อะไรที่ย้ายจริง

โปรไฟล์ย้ายได้ แต่รายชื่อผู้ใช้ยังอยู่เบื้องหลัง ทีมที่สลับระหว่าง Access Server กับ Community Edition จะเจอช่องว่างนี้ภายในหนึ่งชั่วโมงหลังการเปลี่ยนผ่าน เมื่อไคลเอนต์ตัวแรกพิสูจน์ตัวตนแล้วกลับไม่มีนโยบายกลุ่ม ไม่มีเส้นทางต่อผู้ใช้ และไม่มีการรีเซ็ตรหัสผ่านด้วยตนเอง สินค้าทั้งสองพูดโปรโตคอลเดียวกันและรับไคลเอนต์เดียวกัน ซึ่งเป็นเหตุผลว่าทำไมช่องว่างจึงมองไม่เห็นระหว่างการวางแผน สิ่งที่คุณเลือกจริง ๆ คือชั้นการจัดการและคนที่ดูแลมัน

มองการตัดสินใจเป็นคำถามเรื่องสินค้าคงคลัง ไม่ใช่ตารางคุณสมบัติ ถามว่าใครสร้างผู้ใช้ ใครเพิกถอนใบรับรอง และใครรับโทรศัพท์ตอน 02:00

ทำไมไฟล์ .ovpn ไม่พาการตั้งค่ามาด้วย

โปรไฟล์ .ovpn อธิบายความสัมพันธ์ของไคลเอนต์หนึ่งตัวกับเซิร์ฟเวอร์หนึ่งตัว: โฮสต์ระยะไกล โปรโตคอล CA ใบรับรองและคีย์ของไคลเอนต์ และวัสดุ tls-crypt แบบฝังใด ๆ วางไฟล์นั้นลงในการติดตั้งใหม่ ไคลเอนต์ก็ยังจับมือเสร็จ การย้ายจึงดูเหมือนเสร็จแล้ว ไม่มีสิ่งใดในนั้นระบุผู้ใช้ กลุ่ม เส้นทางแบบคงที่ หรือนโยบายที่ตัดสินว่าใครได้รับอนุญาตให้เชื่อมต่อ บันทึกเหล่านั้นอยู่ในที่เก็บของเซิร์ฟเวอร์เอง และทั้งสองผลิตภัณฑ์เก็บไว้ในรูปแบบต่างกัน

ใน Community Edition สิ่งที่เทียบเท่าคือไฟล์ที่คุณเก็บเอง: รายการ client-config-dir ที่มีตัวเลือกต่อไคลเอนต์อย่าง ifconfig-push และ iroute, CRL สำหรับการเพิกถอน และคีย์ tls-crypt Access Server เก็บแนวคิดเดียวกันไว้ในฐานข้อมูลของตนและเปิดเผยผ่านคอนโซลเว็บและเครื่องมือบรรทัดคำสั่ง sacli แนวคิดจับคู่กันหนึ่งต่อหนึ่ง แต่สิ่งประดิษฐ์ไม่ย้ายเลย

โปรไฟล์ยังลักลอบนำพฤติกรรมที่ไม่มีใครสังเกตจนกว่าจะเปลี่ยน ไคลเอนต์ที่มี redirect-gateway def1 ส่งการท่องเว็บทั้งหมดผ่านเซิร์ฟเวอร์ ย้ายไปยังการติดตั้งที่ไม่มีบรรทัดนั้นแล้วข้อร้องเรียนคืออินเทอร์เน็ตพัง การไม่ตรงกันของ CA หรือการตั้งค่า remote-cert-tls ที่ผิดพลาดจะล้มเหลวอย่างเสียงดัง ซึ่งเป็นผลลัพธ์ที่ดี คีย์ tls-crypt ที่หายไปจะล้มเหลวเป็นหมดเวลาแบบเงียบ ซึ่งไม่ดี

ชั้นการจัดการดูแลอะไร

นับสิ่งที่ไม่มีอยู่ในโปรโตคอล: การสร้างบัญชี การรีเซ็ตรหัสผ่าน การกำหนดกลุ่ม การลงทะเบียน MFA สิทธิ์การเชื่อมต่อ และร่องรอยการตรวจสอบที่ตอบว่าใครเชื่อมต่อเมื่อใด Community Edition ไม่ได้ให้สิ่งเหล่านี้โดยตรง คุณเลือกแบ็กเอนด์การพิสูจน์ตัวตน เชื่อม PAM, LDAP หรือ RADIUS ผ่านปลั๊กอินหรือ auth-user-pass-verify และดูแลส่วนที่เหลือเอง Access Server จัดส่งพอร์ทัลผู้ใช้ คอนโซลการจัดการ และการผสานรวมกับผู้ให้บริการข้อมูลระบุตัวตนทั่วไป ไม่มีรูปแบบใดปลอดภัยกว่าโดยค่าเริ่มต้น เพราะนโยบายยังต้องเขียนโดยคนที่รู้จักเครือข่าย

สิทธิ์คือความแตกต่างด้านปฏิบัติการที่คมที่สุด Access Server ได้รับอนุญาตตามจำนวนการเชื่อมต่อพร้อมกันและบังคับจำนวนนั้นในซอฟต์แวร์ ใน Community Edition เพดานทั่วโลกคือบรรทัด max-clients เพียงบรรทัดเดียว ขณะที่ทุกอย่างต่อผู้ใช้หรือต่อกลุ่มหมายถึงงาน client-config-dir ที่มากขึ้นและการบังคับใช้ของคุณเอง ทีมที่ไม่ปรารถนาการบำรุงรักษานั้นกำลังซื้อสิ่งนั้นเมื่อจ่ายเงินสำหรับผลิตภัณฑ์เชิงพาณิชย์

สัญญาอนุญาตและการสนับสนุน: รายการที่ไม่มีใครตั้งงบ

Community Edition ฟรีและโอเพนซอร์ส Access Server เป็นเชิงพาณิชย์ และระดับฟรีของมันเคยครอบคลุมจำนวนการเชื่อมต่อพร้อมกันเพียงเล็กน้อย โดยมีใบอนุญาตแบบชำระเงินเหนือกว่านั้น ตัวเลขใด ๆ ที่ยกมาจากคำตอบฟอรัมเก่าล้าสมัยแล้ว ตรวจสอบเงื่อนไขปัจจุบันของผู้ขายก่อนคิดต้นทุนโครงการ การเปรียบเทียบอย่างซื่อสัตย์บวกชั่วโมงที่ใช้สร้างการจัดการผู้ใช้ MFA และการตรวจสอบฝั่งชุมชนเข้ากับบรรทัดใบอนุญาตฝั่งเชิงพาณิชย์

ความเป็นเจ้าของการสนับสนุนเป็นไปตามการแบ่งเดียวกัน กับ Community Edition คุณคือเส้นทางการยกระดับสำหรับไคลเอนต์แปลก ๆ ทุกตัวและการอัปเดตเคอร์เนลทุกครั้ง กับ Access Server คุณมีผู้ขายให้โทร และคุณสืบทอดจังหวะการออกรุ่นของพวกเขา ไม่ว่าจะเหมาะกับหน้าต่างการเปลี่ยนแปลงของคุณหรือไม่

การตรวจสอบก่อนการเปลี่ยนผ่าน

ทำสินค้าคงคลังว่าเซิร์ฟเวอร์ที่ทำงานอยู่เก็บอะไรจริงก่อนการเปลี่ยนผ่านในทิศทางใดก็ตาม ฝั่ง Access Server ส่งออกรายชื่อผู้ใช้และการกำหนดกลุ่มและบันทึกว่าบัญชีใดพึ่งพา MFA ฝั่ง Community Edition แสดงรายการใบรับรองที่ออก CRL และทุกไฟล์ใต้ client-config-dir เปรียบเทียบสองรายการทีละบรรทัด เพราะความแตกต่างระหว่างกันคืองานย้าย

ทดสอบไคลเอนต์ตัวแทนขณะที่บริการเก่ายังทำงานอยู่ openvpn --config client.ovpn --verb 4 ในเบื้องหน้าพิมพ์การจับมือ เส้นทางที่ส่งไป และตัวเลือก DNS และ openssl x509 -in client.crt -noout -subject -enddate แสดงว่าไคลเอนต์นำเสนอใบรับรองใดจริง ๆ ไคลเอนต์ที่เชื่อมต่อได้แต่ไปไม่ถึงโฮสต์ภายในมีช่องว่างของเส้นทางหรือ iroute ไม่ใช่ความล้มเหลวในการพิสูจน์ตัวตน

รักษาเส้นทางการกู้คืนเก่าไว้จนกว่า ตัวแทนจะผ่านการทดสอบการเข้าถึงที่ถูกปฏิเสธ เช่นเดียวกับการทดสอบที่สำเร็จ เขียนแผนที่สุดท้ายในหน้าเดียว: แต่ละข้อกำหนด สิ่งประดิษฐ์ที่ตอบสนองวันนี้ และสิ่งประดิษฐ์ที่จะตอบสนองหลังจากนั้น