Ми використовуємо OpenVPN: протокол, рушій чи застосунок? Що питати натомість

Фраза «ми використовуємо OpenVPN» надходить у тікетах, формах закупівлі й документах для нових співробітників, і в кожному з них вона відповідає на різне питання. Іноді вона називає протокол передавання, іноді програмне забезпечення на шлюзі, а іноді застосунок, який має встановити новий співробітник. Ці три факти ведуть до різних наступних кроків, і запитати, що саме мається на увазі, швидше, ніж здогадуватися. Решта розслідування випливає з цієї відповіді.

Почніть із відокремлення ролі від бренду, бо бренд охоплює всі три.

Ця назва охоплює три ролі, які відмовляють по-різному

Як протокол OpenVPN описує, як сумісні сторони встановлюють тунель і захищають те, що через нього проходить. Як програмне забезпечення це реалізація, яка говорить цим протоколом у ролі клієнта або сервера. Як клієнт це застосунок, який хтось установлює, зі своєю версією, своїм форматом профілю та своїми особливостями платформи. Збій в одній ролі не означає збою в іншій, тому фразі «OpenVPN не працює» потрібен суб'єкт.

Запитайте, що може бачити заявник: файл профілю, встановлену програму або шлюз, яким він керує. Ця єдина деталь підкаже, чи наступний крок це журнал клієнта, питання про пакет чи перевірка слухача на боці сервера.

OpenVPN 2 і OpenVPN 3 не є парою для оновлення

OpenVPN 2.x працює і в ролі сервера, і в ролі клієнта, і саме його досі використовує більшість розгортань шлюзів. OpenVPN 3 це окрема реалізація, орієнтована на клієнта, зі своєю конфігурацією та своєю моделлю сеансу, а не наступна версія, яку ставлять поверх сервера 2.x. OpenVPN Connect це клієнтський застосунок, побудований на рушії OpenVPN 3. Установлення будь-якого з них не створює службу виходу в інтернет; вихід це те, що налаштував оператор.

Сумісність на рівні протоколу не поширюється на директиви профілю, тому профіль, який чисто імпортується, усе одно може відмовити на директиві, яку клієнт не реалізує.

Транспорт це не застосунок усередині нього

Зовнішнє з'єднання використовує транспорт, наприклад UDP або TCP, щоб досягти налаштованого слухача, і все, що несе тунель, їде всередині нього. Веб-запиту, зробленому через VPN, не потрібен власний слухач OpenVPN, і він не стає пакетом OpenVPN на дроті. У режимі TLS канал керування узгоджує матеріал ключів, а канал даних захищає корисне навантаження, і це розділення варто тримати правильним під час читання журналів.

Плутанина рівнів породжує запити на кшталт відкриття порту для сайту, який уже працює через тунель. Порт належить зовнішньому з'єднанню, а не застосунку.

Що профіль може обіцяти, а що ні

Профіль каже одному клієнтові, як досягти однієї служби: кінцева точка, транспорт, матеріал ідентичності й часто деякі налаштування маршрутизації та DNS. Він нічого не каже про те, хто експлуатує цю службу або чи обліковий запис авторизовано. Маршрути, налаштування розпізнавача, правила пересилання та політика доступу визначають, чого сеанс насправді досягає. Профіль, який успішно імпортується, це початок робочого з'єднання, а не доказ його.

Коли хтось питає, чи досяжний ресурс через VPN, відповідь залежить від політики сервера, а не від файлу конфігурації клієнта.

Просіть те, що можна надати

Перетворіть широку назву на три конкретні речі: клієнт і його версія, авторизований профіль для цього клієнта та ресурс, до якого людині треба дістатися. З ними надання стає конкретним завданням. Без них кожна відповідь це здогад про те, який OpenVPN мався на увазі.

Запишіть відповідь у самому запиті. Наступний тікет поставить те саме питання в той самий двозначний спосіб.