OpenVPN Access Server ile Community: gerçekte ne taşınır

Profiller taşınır; kullanıcı listeleri geride kalır. Access Server ile Community Edition arasında geçiş yapan bir ekip bu boşluğu geçişten bir saat sonra görür: ilk istemcisi kimlik doğrular ve ardından ne grup ilkesi, ne kullanıcı başına yol ne de self-servis parola sıfırlama vardır. İki ürün de aynı protokolü konuşur ve aynı istemciyi kabul eder; boşluğun planlama sırasında görünmez kalmasının nedeni tam da budur. Gerçekte seçtiğiniz şey yönetim katmanı ve ona sahip olan insanlardır.

Kararı bir özellik tablosu değil, envanter sorusu olarak ele alın. Kullanıcıları kim oluşturur, sertifikaları kim iptal eder ve 02:00'de telefonu kim yanıtlar diye sorun.

.ovpn dosyası yapılandırmayı neden taşımaz

.ovpn profili bir istemcinin bir sunucuyla ilişkisini tanımlar: uzak ana bilgisayar, protokol, CA, istemci sertifikası ve anahtarı ile satır içi tls-crypt malzemesi. O dosyayı yeni bir yapıya bırakın ve istemci yine de el sıkışmayı tamamlar, bu yüzden geçiş bitmiş görünür. İçinde kullanıcılar, grupları, statik yolları veya kime bağlanma izni verildiğine karar veren ilke listelenmez. Bu kayıtlar sunucunun kendi deposunda yaşar ve iki ürün bunları farklı biçimlerde saklar.

Community Edition'da eşdeğerler kendi tuttuğunuz dosyalardır: istemci başına ifconfig-push ve iroute gibi seçenekler içeren client-config-dir girdileri, iptaller için CRL ve tls-crypt anahtarı. Access Server aynı kavramları kendi veritabanında tutar ve bunları bir web konsolu ile sacli komut satırı aracı üzerinden sunar. Kavramlar bire bir eşleşir; yapıtlar hiç taşınmaz.

Profiller ayrıca değişene kadar kimsenin fark etmediği davranışları gizlice içeri sokar. redirect-gateway def1 olan bir istemci tüm gezinmeyi sunucu üzerinden gönderir; onu bu satır olmayan bir yapıya taşıyın ve şikâyet internetin bozulduğu olur. CA uyuşmazlığı veya yanlış remote-cert-tls ayarı yüksek sesle başarısız olur, ki bu iyi sonuçtur. Eksik tls-crypt anahtarı sessiz bir zaman aşımı olarak başarısız olur, ki bu iyi değildir.

Yönetim katmanı neyi elinde tutar

Protokol olmayanı sayın: hesap oluşturma, parola sıfırlama, gruba atama, MFA kaydı, bağlantı hakları ve kimin ne zaman bağlandığını yanıtlayan denetim izi. Community Edition bunların hiçbirini doğrudan sunmaz. Bir kimlik doğrulama arka ucu seçer, PAM, LDAP veya RADIUS'u bir eklenti veya auth-user-pass-verify üzerinden bağlarsınız ve geri kalanını kendiniz sürdürürsünüz. Access Server kullanıcı portalı, yönetim konsolu ve yaygın kimlik sağlayıcılarla entegrasyonlar sunar. İki düzenleme de varsayılan olarak daha güvenli değildir, çünkü ilkeyi yine de ağı bilen birinin yazması gerekir.

Haklar en keskin operasyonel farktır. Access Server eşzamanlı bağlantı sayısına göre lisanslanır ve bu sayıyı yazılımda uygular. Community Edition'da genel üst sınır tek bir max-clients satırıdır, kullanıcı veya grup başına her şey ise daha fazla client-config-dir işi ve kendi uygulamanız demektir. Bu bakımı istemeyen bir ekip ticari ürün için ödeme yaparken tam olarak onu satın alır.

Lisanslama ve destek: kimsenin bütçelemediği kalem

Community Edition ücretsiz ve açık kaynaktır. Access Server ticaridir ve ücretsiz katmanı tarihsel olarak az sayıda eşzamanlı bağlantıyı kapsamıştır, bunun üzerinde ücretli lisans vardır. Eski bir forum yanıtında alıntılanan her sayı artık eskimiştir, bu yüzden projeyi maliyetlendirmeden önce satıcının güncel koşullarını kontrol edin. Dürüst karşılaştırma, topluluk tarafında kullanıcı yönetimi, MFA ve izleme oluşturmaya harcanan saatleri ticari taraftaki lisans satırına ekler.

Destek sahipliği aynı bölünmeyi izler. Community Edition ile her tuhaf istemci ve her çekirdek güncellemesi için yükseltme yolu sizsiniz. Access Server ile arayabileceğiniz bir satıcı vardır ve değişiklik pencerenize uysun ya da uymasın onun sürüm ritmini devralırsınız.

Geçişten önce yapılacak kontroller

Her iki yönde geçişten önce çalışan sunucunun gerçekte ne tuttuğunu envanterleyin. Access Server tarafında kullanıcı listesini ve grup atamalarını dışa aktarın ve hangi hesapların MFA'ya bağlı olduğunu not edin. Community Edition tarafında verilen sertifikaları, CRL'yi ve client-config-dir altındaki her dosyayı listeleyin. İki listeyi satır satır karşılaştırın, çünkü aralarındaki fark geçiş işidir.

Eski hizmet hâlâ çalışırken temsili istemcileri test edin. openvpn --config client.ovpn --verb 4 ön planda el sıkışmayı, gönderilen yolları ve DNS seçeneklerini yazdırır, openssl x509 -in client.crt -noout -subject -enddate ise istemcinin gerçekte hangi sertifikayı sunduğunu gösterir. Bağlanan ama iç ana bilgisayara ulaşamayan bir istemcide kimlik doğrulama hatası değil, yol veya iroute boşluğu vardır.

Eski kurtarma yolunu, yedek hem başarılı bir testi hem de reddedilen erişim testini geçene kadar canlı tutun. Son haritayı tek bir sayfaya yazın: her gereksinim, onu bugün karşılayan yapıt ve sonrasında karşılayacak yapıt.