OpenVPN Access Server بمقابلہ Community: اصل میں کیا منتقل ہوتا ہے

پروفائل منتقل ہوتے ہیں؛ صارفین کی فہرستیں پیچھے رہ جاتی ہیں۔ Access Server اور Community Edition کے درمیان بدلنے والی ٹیم کو کٹ اوور کے ایک گھنٹے بعد یہ خلا نظر آتا ہے، جب اس کا پہلا کلائنٹ تصدیق کرتا ہے اور پھر نہ کوئی گروپ پالیسی ہوتی ہے، نہ فی صارف راستہ اور نہ خود سروس پاس ورڈ ری سیٹ۔ دونوں مصنوعات ایک ہی پروٹوکول بولتی اور ایک ہی کلائنٹ قبول کرتی ہیں، اور اسی لیے منصوبہ بندی کے دوران یہ خلا نظر نہیں آتا۔ آپ دراصل انتظامی تہہ اور اس کے مالک لوگوں کا انتخاب کر رہے ہیں۔

فیصلے کو خصوصیات کی جدول نہیں بلکہ انوینٹری کا سوال سمجھیں۔ پوچھیں کہ صارفین کون بناتا ہے، سرٹیفکیٹ کون منسوخ کرتا ہے، اور 02:00 بجے فون کون اٹھاتا ہے۔

.ovpn فائل ترتیب کیوں نہیں لاتی

ایک .ovpn پروفائل ایک کلائنٹ کا ایک سرور سے تعلق بیان کرتا ہے: دور دراز میزبان، پروٹوکول، CA، کلائنٹ سرٹیفکیٹ اور کلید، اور کوئی بھی اندرونی tls-crypt مواد۔ وہ فائل نئی بلڈ میں ڈالیں اور کلائنٹ پھر بھی مصافحہ مکمل کرتا ہے، اس لیے منتقلی مکمل دکھتی ہے۔ اس میں صارفین، ان کے گروپس، ان کے مستقل راستے یا یہ طے کرنے والی پالیسی کچھ بھی درج نہیں کہ کسے جڑنے کی اجازت ہے۔ وہ ریکارڈ سرور کے اپنے ذخیرے میں رہتے ہیں، اور دونوں مصنوعات انہیں مختلف شکلوں میں رکھتی ہیں۔

Community Edition میں متبادل وہ فائلیں ہیں جو آپ خود رکھتے ہیں: ہر کلائنٹ کے لیے ifconfig-push اور iroute جیسے اختیارات والی client-config-dir اندراجیں، منسوخی کے لیے CRL، اور tls-crypt کلید۔ Access Server وہی تصورات اپنے ڈیٹا بیس میں رکھتا ہے اور ویب کنسول اور sacli کمانڈ لائن ٹول کے ذریعے ظاہر کرتا ہے۔ تصورات ایک کے ایک مطابق ہیں؛ فن پارے بالکل نہیں ہلتے۔

پروفائل ایسا رویہ بھی چوری چھپے لاتے ہیں جسے بدلنے تک کوئی نہیں دیکھتا۔ redirect-gateway def1 والا کلائنٹ ساری براؤزنگ سرور کے ذریعے بھیجتا ہے؛ اسے اس سطر کے بغیر بلڈ میں منتقل کریں اور شکایت یہ ہوگی کہ انٹرنیٹ ٹوٹ گیا۔ CA کا نہ ملنا یا غلط remote-cert-tls سیٹنگ اونچی آواز میں ناکام ہوتی ہے، جو اچھا نتیجہ ہے۔ غائب tls-crypt کلید خاموش ٹائم آؤٹ کے طور پر ناکام ہوتی ہے، جو اچھا نہیں ہے۔

انتظامی تہہ کیا رکھتی ہے

جو پروٹوکول نہیں اسے گنیں: اکاؤنٹ بنانا، پاس ورڈ ری سیٹ، گروپ تفویض، MFA اندراج، رابطے کے حقوق، اور وہ آڈٹ سراغ جو جواب دیتا ہے کس نے کب رابطہ کیا۔ Community Edition ان میں سے کچھ بھی براہ راست نہیں دیتا۔ آپ تصدیق کا بیک اینڈ چنتے ہیں، پلگ ان یا auth-user-pass-verify کے ذریعے PAM، LDAP یا RADIUS جوڑتے ہیں، اور باقی خود سنبھالتے ہیں۔ Access Server صارف پورٹل، انتظامی کنسول اور عام شناختی فراہم کنندگان کے ساتھ انضمام فراہم کرتا ہے۔ کوئی بھی ترتیب بطور طے شدہ زیادہ محفوظ نہیں، کیونکہ پالیسی اب بھی نیٹ ورک جاننے والے ہی کو لکھنی پڑتی ہے۔

حقوق سب سے تیز عملی فرق ہیں۔ Access Server بیک وقت رابطوں کی تعداد کے مطابق لائسنس پاتا ہے اور وہ تعداد سافٹ ویئر میں نافذ کرتا ہے۔ Community Edition میں عالمی حد ایک ہی max-clients سطر ہے، جبکہ فی صارف یا فی گروپ کوئی بھی چیز زیادہ client-config-dir کام اور آپ کا اپنا نفاذ ہے۔ جس ٹیم کو اس دیکھ بھال کا شوق نہیں وہ تجارتی مصنوعات کی قیمت دیتے وقت بالکل یہی خریدتی ہے۔

لائسنس اور معاونت: وہ مد جسے کوئی بجٹ میں نہیں رکھتا

Community Edition مفت اور اوپن سورس ہے۔ Access Server تجارتی ہے، اور اس کی مفت سطح نے تاریخی طور پر بیک وقت رابطوں کی تھوڑی تعداد کا احاطہ کیا ہے، اس سے اوپر ادا شدہ لائسنس ہے۔ کسی پرانے فورم جواب میں نقل کردہ کوئی بھی عدد اب پرانا ہے، اس لیے منصوبے کی لاگت لگانے سے پہلے فروش کی موجودہ شرائط دیکھیں۔ ایماندار موازنہ کمیونٹی کی طرف صارف انتظام، MFA اور نگرانی بنانے پر صرف ہونے والے گھنٹے تجارتی طرف کی لائسنس سطر میں شامل کرتا ہے۔

معاونت کی ملکیت بھی وہی تقسیم مانتی ہے۔ Community Edition کے ساتھ ہر عجیب کلائنٹ اور ہر کرنل اپڈیٹ کے لیے ایسکلیشن راستہ آپ ہیں۔ Access Server کے ساتھ فون کرنے کو فروش ہے، اور آپ کی تبدیلی کی کھڑکی میں فٹ ہو یا نہ ہو، اس کی ریلیز کی تال آپ کو ورثے میں ملتی ہے۔

منتقلی سے پہلے کی جانچ

کسی بھی سمت منتقلی سے پہلے چلتے سرور کے پاس واقعی کیا ہے اس کی انوینٹری کریں۔ Access Server کی طرف صارفین کی فہرست اور گروپ تفویضات برآمد کریں اور نوٹ کریں کہ کون سے اکاؤنٹس MFA پر منحصر ہیں۔ Community Edition کی طرف جاری شدہ سرٹیفکیٹ، CRL اور client-config-dir کے تحت ہر فائل کی فہرست بنائیں۔ دونوں فہرستوں کا سطر بہ سطر موازنہ کریں، کیونکہ ان کے درمیان فرق ہی منتقلی کا کام ہے۔

پرانے سروس کے چلتے رہتے ہی نمائندہ کلائنٹس آزمائیں۔ openvpn --config client.ovpn --verb 4 سامنے کے حصے میں مصافحہ، بھیجے گئے راستے اور DNS اختیارات چھاپتا ہے، اور openssl x509 -in client.crt -noout -subject -enddate دکھاتا ہے کہ کلائنٹ واقعی کون سا سرٹیفکیٹ پیش کرتا ہے۔ جو کلائنٹ جڑتا ہے مگر اندرونی میزبان تک نہیں پہنچتا اس میں راستے یا iroute کا خلا ہے، تصدیق کی ناکامی نہیں۔

پرانے بازیابی راستے کو زندہ رکھیں تاوقتیکہ متبادل کامیاب آزمائش کے ساتھ ساتھ مسترد شدہ رسائی کی آزمائش بھی پاس نہ کر لے۔ حتمی نقشہ ایک صفحے پر لکھیں: ہر ضرورت، آج اسے پورا کرنے والا فن پارہ، اور بعد میں پورا کرنے والا فن پارہ۔