OpenVPN Access Server vs Community: ano ang talagang lumilipat

Lumilipat ang mga profile; naiiwan ang listahan ng user. Ang team na lumilipat sa pagitan ng Access Server at Community Edition ay makakaranas ng puwang na iyon isang oras pagkatapos ng cutover, kapag nag-authenticate ang una nitong client at wala nang group policy, walang ruta bawat user at walang self-service na pag-reset ng password. Pareho ang protocol na sinasalita ng dalawang produkto at pareho ang client na tinatanggap nila, at iyon mismo ang dahilan kung bakit nananatiling hindi nakikita ang puwang sa pagpaplano. Ang talagang pinipili mo ay ang management layer at ang mga taong nagmamay-ari nito.

Ituring ang desisyon na tanong sa imbentaryo, hindi talahanayan ng feature. Itanong kung sino ang gumagawa ng user, sino ang nagbabalewala ng sertipiko at sino ang sumasagot sa tawag sa 02:00.

Bakit hindi dinadala ng .ovpn file ang setup

Ang .ovpn profile ay naglalarawan ng relasyon ng isang client sa isang server: ang remote host, ang protocol, ang CA, isang client certificate at key, at anumang inline na tls-crypt material. Ihulog ang file na iyon sa bagong build at kumpletuhin pa rin ng client ang handshake, kaya mukhang tapos na ang migration. Wala sa loob nito ang naglilista ng mga user, kanilang mga grupo, kanilang static na ruta o ang patakarang nagpasya kung sino ang pinapayagang kumonekta. Ang mga rekord na iyon ay naninirahan sa sariling storage ng server, at iniimbak ng dalawang produkto ang mga ito sa magkaibang anyo.

Sa Community Edition ang mga katumbas ay mga file na ikaw mismo ang nagtatago: mga entry na client-config-dir na may mga opsyon bawat client tulad ng ifconfig-push at iroute, isang CRL para sa mga pagpapawalang-bisa at ang tls-crypt key. Iniimbak ng Access Server ang parehong mga konsepto sa sarili nitong database at inilalantad ang mga ito sa pamamagitan ng web console at ang command-line tool na sacli. Nagtutugma ang mga konsepto nang isa-sa-isa; hindi gumagalaw ang mga artifact.

Nagpapalusot din ang mga profile ng pag-uugali na walang pumapansin hanggang sa magbago ito. Ang client na may redirect-gateway def1 ay nagpapadala ng lahat ng pag-browse sa server; ilipat ito sa build na walang linyang iyon at ang reklamo ay nasira ang internet. Ang hindi pagtutugma ng CA o maling setting ng remote-cert-tls ay pumapalya nang malakas, na siyang magandang resulta. Ang nawawalang tls-crypt key ay pumapalya bilang tahimik na timeout, na hindi magandang resulta.

Ano ang pagmamay-ari ng management layer

Bilangin ang hindi protocol: paggawa ng account, pag-reset ng password, pagtatalaga ng grupo, pagpapatala sa MFA, mga karapatan sa koneksyon at ang audit trail na sumasagot kung sino ang kumonekta kailan. Walang direktang ibinibigay ang Community Edition sa mga ito. Pumipili ka ng authentication backend, ikinakabit ang PAM, LDAP o RADIUS sa pamamagitan ng plugin o auth-user-pass-verify, at ikaw mismo ang nagpapanatili ng iba. Ang Access Server ay naghahatid ng user portal, administration console at mga integration sa karaniwang identity provider. Walang alinman sa dalawang kaayusan ang mas ligtas bilang default, dahil ang patakaran ay kailangan pa ring isulat ng taong nakakaalam ng network.

Ang mga karapatan ang pinakamatalas na pagkakaiba sa operasyon. Ang Access Server ay lisensyado ayon sa bilang ng sabay-sabay na koneksyon at ipinapatupad ang bilang na iyon sa software. Sa Community Edition, ang pangkalahatang limitasyon ay isang linyang max-clients, habang ang anumang bawat user o bawat grupo ay nangangahulugan ng mas maraming client-config-dir na trabaho at sarili mong pagpapatupad. Ang team na walang ganang sa maintenance na iyon ay binibili mismo iyon kapag nagbabayad para sa komersyal na produkto.

Lisensya at suporta: ang linyang walang nagbabadyet

Ang Community Edition ay libre at open source. Ang Access Server ay komersyal, at ang libreng tier nito ay dating sumasakop sa maliit na bilang ng sabay-sabay na koneksyon na may bayad na lisensya sa itaas nito. Anumang bilang na sinipi sa lumang sagot sa forum ay luma na ngayon, kaya tingnan ang kasalukuyang mga tuntunin ng vendor bago mo kalkulahin ang proyekto. Ang tapat na paghahambing ay nagdadagdag ng mga oras na ginugol sa pagbuo ng pamamahala ng user, MFA at pagsubaybay sa panig ng komunidad sa linyang lisensya sa komersyal na panig.

Ang pagmamay-ari ng suporta ay sumusunod sa parehong paghahati. Sa Community Edition ikaw ang escalation path para sa bawat kakaibang client at bawat kernel update. Sa Access Server mayroon kang vendor na matatawagan, at namamana mo ang kanilang ritmo ng release, bagay man ito sa window ng pagbabago mo o hindi.

Mga pagsusuri bago ang cutover

Mag-imbentaryo ng aktwal na hawak ng tumatakbong server bago ang cutover sa alinmang direksyon. Sa panig ng Access Server, i-export ang listahan ng user at mga pagtatalaga ng grupo at tandaan kung aling mga account ang umaasa sa MFA. Sa panig ng Community Edition, ilista ang mga inisyu na sertipiko, ang CRL at bawat file sa ilalim ng client-config-dir. Ihambing ang dalawang listahan nang linya sa linya, dahil ang pagkakaiba nila ang trabaho ng migration.

Subukan ang mga representatibong client habang tumatakbo pa ang lumang serbisyo. Ang openvpn --config client.ovpn --verb 4 sa foreground ay nagpi-print ng handshake, mga naipadalang ruta at mga opsyon sa DNS, at ang openssl x509 -in client.crt -noout -subject -enddate ay nagpapakita kung aling sertipiko ang aktwal na inihaharap ng client. Ang client na kumokonekta pero hindi umabot sa panloob na host ay may puwang sa ruta o sa iroute, hindi kabiguan sa authentication.

Panatilihing buhay ang lumang recovery path hanggang pumasa ang kapalit sa pagsubok ng tinanggihang access gayundin sa matagumpay. Isulat ang huling mapa sa isang pahina: bawat pangangailangan, ang artifact na tumutugon dito ngayon at ang artifact na tutugon dito pagkatapos.