SSTP ile OpenVPN: aynı 443 numaralı bağlantı noktası, farklı protokol

Her iki seçenek de TCP 443 arkasında durabilir, bu yüzden insanlar bunların birbirinin yerine geçebilen uç noktalar olduğunu sanır. Değiller: SSTP sunucu HTTPS içinde PPP konuşur, OpenVPN sunucusu ise kendi protokolünü TLS üzerinden ya da ham UDP akışıyla konuşur. Bir istemciyi diğerinin kapısına yönlendirmek, hiçbir zaman oturum açma istemine ulaşmayan bir bağlantı üretir. Seçim hangi istemciyi ve aktarımı destekleyebileceğinizle ilgilidir, numarayla değil.

Ortak kapı ortak protokol yaratmaz

TLS el sıkışması tamamlanabilir ve yine de hiçbir yere varmayabilir, çünkü sonrasında istemci ile sunucu sırada ne söyleneceği konusunda anlaşamaz. Paket kaydında temiz bir el sıkışmanın ardından karşı tarafın reddettiği ya da yok saydığı uygulama verilerini görürsünüz. Bu desen bir protokol uyuşmazlığının imzasıdır, güvenlik duvarı engelinin değil.

Ne yeniden adlandırılmış bir profil ne de başka bir menü girdisi birini diğerine dönüştürür. SSTP bağlantısı Windows VPN ayarlarından bir sunucu adresi ve operatörün kimlik doğrulama bilgileriyle oluşturulur; OpenVPN bağlantısı ise istemciyi ve eşleşen yapılandırma dosyasını gerektirir. Microsoft'un SSTP belirtimi ilkini anlatır ve bir OpenVPN el sıkışmasını anlatmaz.

443 numaralı kapı bir politika kolaylığıdır. Başka pek bir şeye izin vermeyen ağlardan geçer ve bu gerçek bir avantajdır, ama arkasında hangi protokolün çalıştığı hakkında hiçbir şey söylemez.

SSTP, PPP'yi HTTPS içinde tüneller

Ad, yapıyı tanımlar: HTTPS oturumu içinde taşınan PPP çerçeveleri, yani altında TLS ve istemcinin doğrulayabileceği bir sertifika. Windows bunu yerel bir VPN türü olarak içerir, bu yüzden yönetilen bir dizüstü bilgisayar genellikle operatörün sağladığı profil dışında ek yazılım olmadan bağlanabilir.

Diğer platformlar başka bir hikâye. Linux veya macOS istemcisi bakımı yapılan bir uygulama gerektirir ve bunlar neyi destekledikleri ve hataları nasıl bildirdikleri konusunda farklıdır. Gerçekten kullanmayı düşündüğünüz istemciyi denetleyin, Windows'un yerleşik yeteneğinin aktarılacağını varsaymayın ve profildeki sunucu adının sunucunun sunduğu sertifikayla eşleştiğini doğrulayın.

SSTP genellikle yalnızca TCP'dir. Bu tek aktarım, kayıplı bir hatta nasıl davrandığını etkiler, çünkü yeniden iletim hem tünelin içinde hem de altında gerçekleşir.

OpenVPN kendi istemcisini ve bir aktarım seçimi getirir

OpenVPN kendi istemcisini ve profilini sunar, bu da size yerel Windows iletişim kutusunun göstermediği tanılama verir. Sunucu UDP veya TCP üzerinde dinleyebilir ve istemcinizin hangisini kullanması gerektiğine operatörün yapılandırması karar verir. Yanlış aktarıma yönlendirilen profil kimlik doğrulamadan önce başarısız olur.

Kimlik doğrulama da aynı ölçüde yapılandırmaya bağlıdır. Bir kurulum yalnızca sertifika, sertifika ile birlikte kullanıcı adı ve parola ya da üstüne ikinci bir faktör isteyebilir ve istemci bu düzene tam olarak uymalıdır. Bir bağlantının TLS aşamasına ulaşması, sırada hangi kimlik bilgilerini isteyeceğini söylemez.

UDP olağan varsayılandır çünkü güvenilir bir akışı başka bir güvenilir akışın içine yerleştirmekten kaçınır. TCP kipi UDP'yi engelleyen ağlar için vardır ve çalışır, ancak ağır kayıp onu yerine geçtiği UDP yolundan daha kötü hissettirebilir. Gerektiğinde TCP seçin, daha güvenilir kulağa geldiği için değil.

İstemci, aktarım ve desteğe göre seçin

Üç soru bu kararların çoğunu çözer. Her istemci aygıtı ek yazılım olmadan çalışan bir bağlantıya ihtiyaç duyuyor mu? Güvendiğiniz ağ UDP'ye izin veriyor mu, yoksa TCP 443 tek çıkış yolu mu? Ve bir profil sona erdiğinde istemciyi, güncellemelerini ve kurtarmasını kim destekliyor?

İkisini karşılaştırırken aynı aygıtta ve aynı erişim ağında test edin. SSTP uç noktası ve OpenVPN uç noktası farklı sunucular ya da farklı sitelerse sonucunuz protokolü yalıtmak yerine o yolları ve makineleri içerir. Bu tür karşılaştırmaların kendinden emin ama yanlış yanıt vermesinin en yaygın yolu budur.

Sonra başka bir şeyde hata ayıklamadan önce gerçekte hangisini kurduğunuzu doğrulayın:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

Her iki durumda da tünel durumunda başarı ilan etmek yerine ihtiyaç duyduğunuz kaynağı ve DNS'yi test ederek bitirin. İki protokol de yalnızca seçili özel trafiği taşıyacak şekilde yapılandırılabilir ve çalışan ad çözümlemesi olmadan bağlı bir tünel, gerçekte bölünmüş tünel ya da DNS tasarımıyken bozuk bir VPN gibi görünür.

Yönetilen bir filoda profil dağıtımı ve güncelleme desteği soruyu genellikle herhangi bir aktarım ölçümünden çok önce çözer.