เราใช้ OpenVPN: โพรโทคอล เอนจิน หรือแอป? ควรถามอะไรแทน

ประโยค «เราใช้ OpenVPN» มาถึงในตั๋วสนับสนุน แบบฟอร์มจัดซื้อ และเอกสารสำหรับพนักงานใหม่ และในแต่ละที่ก็ตอบคำถามคนละข้อ บางครั้งก็หมายถึงโพรโทคอลรับส่ง บางครั้งก็หมายถึงซอฟต์แวร์บนเกตเวย์ และบางครั้งก็หมายถึงแอปที่พนักงานใหม่ต้องติดตั้ง ข้อเท็จจริงสามข้อนี้นำไปสู่ก้าวถัดไปที่แตกต่างกัน และการถามว่าเจตนาคือข้อใดใช้เวลาน้อยกว่าการเดา ส่วนที่เหลือของการสอบสวนตามมาจากคำตอบนั้น

เริ่มจากการแยกบทบาทออกจากแบรนด์ เพราะแบรนด์ครอบคลุมทั้งสาม

ชื่อนี้ครอบคลุมสามบทบาทที่ล้มเหลวต่างกัน

ในฐานะโพรโทคอล OpenVPN อธิบายว่าคู่ที่เข้ากันได้สร้างอุโมงค์และปกป้องสิ่งที่ผ่านเข้าไปอย่างไร ในฐานะซอฟต์แวร์ มันคือการนำไปใช้ที่พูดโพรโทคอลนั้นในบทบาทไคลเอนต์หรือเซิร์ฟเวอร์ ในฐานะไคลเอนต์ มันคือแอปพลิเคชันที่ใครคนหนึ่งติดตั้ง พร้อมเวอร์ชัน รูปแบบโปรไฟล์ และลักษณะเฉพาะของแพลตฟอร์มของตัวเอง ความล้มเหลวในบทบาทหนึ่งไม่ได้หมายถึงความล้มเหลวในอีกบทบาทหนึ่ง เพราะเหตุนี้ «OpenVPN ล่ม» จึงต้องมีประธาน

ถามว่าผู้แจ้งเห็นอะไรได้: ไฟล์โปรไฟล์ โปรแกรมที่ติดตั้งไว้ หรือเกตเวย์ที่เขาดูแล รายละเอียดเดียวนี้บอกคุณว่าก้าวถัดไปคือบันทึกของไคลเอนต์ คำถามเกี่ยวกับแพ็กเกจ หรือการตรวจสอบผู้รับฟังฝั่งเซิร์ฟเวอร์

OpenVPN 2 และ OpenVPN 3 ไม่ใช่คู่อัปเกรด

OpenVPN 2.x ทำงานทั้งบทบาทเซิร์ฟเวอร์และไคลเอนต์ และยังเป็นสิ่งที่การติดตั้งเกตเวย์ส่วนใหญ่ใช้อยู่ OpenVPN 3 คือการนำไปใช้แยกต่างหากที่เน้นไคลเอนต์ พร้อมการกำหนดค่าและรูปแบบเซสชันของตัวเอง ไม่ใช่รุ่นถัดไปที่คุณติดตั้งทับเซิร์ฟเวอร์ 2.x OpenVPN Connect คือแอปพลิเคชันไคลเอนต์ที่สร้างบนเอนจิน OpenVPN 3 การติดตั้งสิ่งใดสิ่งหนึ่งไม่สร้างบริการทางออกสู่อินเทอร์เน็ต ทางออกคือสิ่งที่ผู้ให้บริการกำหนดไว้

ความเข้ากันได้ในระดับโพรโทคอลไม่ครอบคลุมถึงคำสั่งของโปรไฟล์ โปรไฟล์ที่นำเข้าได้เรียบร้อยจึงยังล้มเหลวที่คำสั่งที่ไคลเอนต์ไม่ได้นำไปใช้ได้

การรับส่งไม่ใช่แอปพลิเคชันที่อยู่ข้างใน

การเชื่อมต่อภายนอกใช้การรับส่งเช่น UDP หรือ TCP เพื่อไปถึงผู้รับฟังที่กำหนดไว้ และทุกสิ่งที่อุโมงค์บรรทุกก็เดินทางอยู่ข้างใน คำขอเว็บที่ทำผ่าน VPN ไม่ต้องมีผู้รับฟัง OpenVPN ของตัวเอง และไม่กลายเป็นแพ็กเก็ต OpenVPN บนสาย ในโหมด TLS ช่องควบคุมเจรจาเรื่องวัสดุกุญแจ ในขณะที่ช่องข้อมูลปกป้องเพย์โหลด และนี่คือการแยกที่ควรคงไว้ให้ถูกต้องเมื่ออ่านบันทึก

การสับสนชั้นทำให้เกิดคำขอเช่นการเปิดพอร์ตให้เว็บไซต์ที่ทำงานผ่านอุโมงค์อยู่แล้ว พอร์ตเป็นของการเชื่อมต่อภายนอก ไม่ใช่ของแอปพลิเคชัน

โปรไฟล์สัญญาอะไรได้ และอะไรไม่ได้

โปรไฟล์บอกไคลเอนต์หนึ่งตัวว่ามันจะไปถึงบริการหนึ่งบริการได้อย่างไร: ปลายทาง การรับส่ง วัสดุระบุตัวตน และบ่อยครั้งก็มีการตั้งค่าเส้นทางและ DNS บางอย่าง มันไม่บอกว่าใครดำเนินการบริการนั้น หรือบัญชีได้รับอนุญาตหรือไม่ เส้นทาง การตั้งค่าตัวแปลงกฎ กฎการส่งต่อ และนโยบายการเข้าถึงเป็นตัวกำหนดว่าเซสชันไปถึงอะไรจริง ๆ โปรไฟล์ที่นำเข้าได้สำเร็จคือจุดเริ่มต้นของการเชื่อมต่อที่ใช้งานได้ ไม่ใช่หลักฐานของการเชื่อมต่อนั้น

เมื่อมีคนถามว่าทรัพยากรเข้าถึงได้ผ่าน VPN หรือไม่ คำตอบขึ้นอยู่กับนโยบายของเซิร์ฟเวอร์ ไม่ใช่ไฟล์กำหนดค่าของไคลเอนต์

ขอสิ่งที่จัดให้ได้

เปลี่ยนชื่อกว้าง ๆ ให้เป็นสามสิ่งเฉพาะ: ไคลเอนต์และเวอร์ชัน โปรไฟล์ที่ได้รับอนุญาตสำหรับไคลเอนต์นั้น และทรัพยากรที่บุคคลนั้นต้องเข้าถึง ด้วยสิ่งเหล่านี้ การจัดหาเป็นงานที่ชัดเจน หากไม่มี ทุกคำตอบคือการเดาว่าคำถามหมายถึง OpenVPN ตัวใด

บันทึกคำตอบไว้ในคำขอเอง ตั๋วถัดไปจะถามคำถามเดิมในลักษณะกำกวมเดิม