Вхідний VPN у Windows чи хост OpenVPN: виберіть за п’ять хвилин

Windows може приймати VPN-з’єднання, якщо не встановлено нічого, крім операційної системи, і це справді допомагає, коли двом вашим машинам потрібен тунель на один день. Корисним це залишається приблизно стільки ж. Вбудований прослуховувач має фіксоване меню протоколів, не має політики для кожного клієнта й залежить від робочого столу, який хтось може закрити. Вибір між ним, точкою на маршрутизаторі та хостом OpenVPN зводиться до трьох умов, а не до вподобання.

Що насправді є вбудований прослуховувач

Майстер вхідних з’єднань перетворює робочу станцію на невелику точку віддаленого доступу. Ви обираєте, які локальні облікові записи можуть дзвонити, як видаються адреси і який протокол увімкнено: PPTP, а також L2TP/IPsec чи SSTP там, де це підтримують видання й робота із сертифікатами.

Чого він не є, то це рівнем політик. Немає призначення маршрутів для кожного користувача, немає роздільного тунелю, який нав’язує сервер, і немає розділення між тунелем і власною мережевою ідентичністю робочої станції. Клієнт, який підключається, потрапляє в той самий сегмент, що й робоча станція, під правила міжмережевого екрана цього сегмента.

Саме останній пункт і варто зважити. Власні порти робочої станції, спільні ресурси й браузер тепер доступні кожному, хто має обліковий запис, а запис — це локальний запис Windows з усім іншим, що він уже вміє.

Три умови, які вирішують

Запитайте, як довго має тривати доступ, скільком людям він потрібен і чи мережа взагалі може доставити протокол.

Якщо відповідь — одна машина, одна людина й кілька годин у мережі, де маршрутизатором керуєте ви, вбудований прослуховувач є сумірним. Якщо доступ має переживати перезавантаження місяць, обслуговувати п’ятьох колег з окремими обліковими даними або працювати з мобільної мережі, яка не може приймати вхідні з’єднання, — ні. Якщо протокол вимагає протокол IP 47, а не порт, мережа може відмовитися його доставляти, незалежно від того, що підтримує Windows.

Ці три відповіді усувають більшу частину суперечки за один прохід. Решта — деталі реалізації.

Де виграє точка на маршрутизаторі

Тунель, що закінчується на маршрутизаторі, — природний вибір для постійного доступу. Маршрутизатор і так завжди ввімкнений, він може нести тунель між майданчиками до іншого офісу, а клієнтам не треба нічого встановлювати, якщо маршрутизатор пропонує протокол, який вони використовують.

Обмеження — прошивка. Споживчі маршрутизатори часто підтримують лише частину того, що дозволяє специфікація, і модель, яка рекламує підтримку VPN, може не містити саме того протоколу, на який ви розраховували. Дивіться список функцій встановленої прошивки, а не родини продуктів.

Де виграє хост OpenVPN

Сервер OpenVPN на невеликій завжди ввімкненій машині підходить для змішаних клієнтів, кількох користувачів з окремими обліковими даними й мереж, де єдиний зручний для вихідного трафіку порт — це різниця між роботою та блокуванням. Він видає профіль для кожного клієнта, працює на всіх основних платформах і з боку клієнта поводиться як звичайний вихідний застосунок.

Він також вимагає власника. Хтось має оновлювати сертифікати, застосовувати оновлення хоста й читати журнал, коли клієнт не може підключитися. Без цієї людини самостійно розміщена точка тихо деградує до дня, коли це стає важливим.

Перевірте шлях, перш ніж обіцяти доступ

Найчастіша причина збою прослуховувача Windows — не автентифікація. Причина — шлях: PPTP потребує вхідного TCP 1723 і GRE, а це протокол 47, а не порт, і багато маршрутизаторів пересилають лише порти. Деякі мережі доступу взагалі не дозволяють вхідні з’єднання. Цей один факт виключає вбудований прослуховувач у більшій кількості мереж, ніж будь-яке налаштування Windows.

Перевірте шлях перед налаштуванням облікових записів, щоб у збою був один кандидат, а не три:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Закритий порт у першому рядку — це проблема пересилання або оператора, а не Windows. Третій рядок — це перевірка, яку ви зробите після вибору OpenVPN, де один прослуховуваний порт UDP замінює все питання про протокол.

Який би варіант ви не обрали, не залишайте PPTP зверненим в інтернет як довгострокове рішення; його автентифікація й шифрування застаріли. А якщо реальна потреба — один вебзастосунок, зворотний проксі — менша відповідь, ніж будь-який VPN.