OpenVPN Access Server va Community: aslida nima ko'chadi

Profillar ko'chadi; foydalanuvchilar ro'yxati orqada qoladi. Access Server va Community Edition o'rtasida almashadigan jamoa bu bo'shliqqa o'tishdan bir soat o'tgach duch keladi: uning birinchi mijozi autentifikatsiyadan o'tadi va keyin na guruh siyosati, na foydalanuvchi yo'nalishi, na o'z-o'ziga xizmat parolni tiklash mavjud. Ikkala mahsulot ham bir xil protokolda gaplashadi va bir xil mijozni qabul qiladi, va rejalashtirish paytida bo'shliqning ko'rinmas qolishining sababi ham shu. Aslida siz boshqaruv qatlamini va unga egalik qiluvchi odamlarni tanlayapsiz.

Qarorni funksiyalar jadvali emas, inventar savoli deb qabul qiling. Kim foydalanuvchi yaratadi, kim sertifikatlarni bekor qiladi va 02:00 da kim telefonni ko'taradi — shuni so'rang.

Nima uchun .ovpn fayli sozlamani olib yurmaydi

.ovpn profili bitta mijozning bitta server bilan munosabatini tasvirlaydi: masofaviy xost, protokol, CA, mijoz sertifikati va kaliti, hamda har qanday ichki tls-crypt materiali. O'sha faylni yangi qurilmaga tashlang, mijoz baribir qo'l berib ko'rishni yakunlaydi, shuning uchun migratsiya tugagandek ko'rinadi. Unda foydalanuvchilar, ularning guruhlari, statik yo'nalishlari yoki kimga ulanishga ruxsat berilganini hal qilgan siyosat sanab o'tilmagan. Bu yozuvlar serverning o'z omborida yashaydi va ikkala mahsulot ularni turli shakllarda saqlaydi.

Community Edition da ekvivalentlar — o'zingiz saqlaydigan fayllar: har bir mijoz uchun ifconfig-push va iroute kabi parametrlari bo'lgan client-config-dir yozuvlari, bekor qilish uchun CRL va tls-crypt kaliti. Access Server bir xil tushunchalarni o'z ma'lumotlar bazasida saqlaydi va ularni veb-konsol hamda sacli buyruq qatori vositasi orqali taqdim etadi. Tushunchalar bir-biriga to'g'ri keladi; artefaktlar umuman ko'chmaydi.

Profillar o'zgarmaguncha hech kim sezmaydigan xatti-harakatni ham yashirincha olib kiradi. redirect-gateway def1 bo'lgan mijoz barcha ko'rishni server orqali yuboradi; uni o'sha qatorsiz qurilmaga ko'chirsangiz, shikoyat internet buzildi degan bo'ladi. CA mos kelmasligi yoki noto'g'ri remote-cert-tls sozlamasi baland ovozda muvaffaqiyatsiz bo'ladi, bu yaxshi natija. Yo'q tls-crypt kaliti jim taymaut sifatida muvaffaqiyatsiz bo'ladi, bu esa yaxshi emas.

Boshqaruv qatlami nimaga egalik qiladi

Protokol bo'lmagan narsani sanang: hisob yaratish, parolni tiklash, guruhga tayinlash, MFA ro'yxatdan o'tish, ulanish huquqlari va kim qachon ulanganiga javob beradigan audit izi. Community Edition bularning hech birini to'g'ridan-to'g'ri taqdim etmaydi. Siz autentifikatsiya backendini tanlaysiz, PAM, LDAP yoki RADIUSni plagin yoki auth-user-pass-verify orqali ulaysiz, qolganini o'zingiz saqlaysiz. Access Server foydalanuvchi portalini, boshqaruv konsolini va keng tarqalgan identifikatsiya provayderlari bilan integratsiyalarni yetkazib beradi. Ikkala tuzilma ham sukut bo'yicha xavfsizroq emas, chunki siyosatni baribir tarmoqni biladigan kishi yozishi kerak.

Huquqlar eng keskin operatsion farqdir. Access Server bir vaqtning o'zida ulanishlar soni bo'yicha litsenziyalanadi va bu sonni dasturiy ravishda bajaradi. Community Edition da global chegara bitta max-clients qatoridir, foydalanuvchi yoki guruh bo'yicha har qanday narsa esa ko'proq client-config-dir ishini va o'zingizning bajarishingizni anglatadi. Bu xizmatga ishtiyoqi yo'q jamoa tijoriy mahsulot uchun to'laganda aynan shuni sotib oladi.

Litsenziyalash va qo'llab-quvvatlash: hech kim byudjetga qo'shmaydigan qator

Community Edition bepul va ochiq kodli. Access Server tijoriy va uning bepul darajasi tarixan oz miqdordagi bir vaqtning o'zida ulanishlarni qamrab olgan, undan yuqorisi pullik litsenziya. Eski forum javobida keltirilgan har qanday raqam endi eskirgan, shuning uchun loyiha xarajatini hisoblashdan oldin sotuvchining amaldagi shartlarini tekshiring. Halol taqqoslash jamoa tomonida foydalanuvchilarni boshqarish, MFA va monitoring qurishga sarflangan soatlarni tijoriy tomondagi litsenziya qatoriga qo'shadi.

Qo'llab-quvvatlash egaligi ham xuddi shu bo'linishga bo'ysunadi. Community Edition bilan siz har bir g'alati mijoz va har bir yadro yangilanishi uchun eskalatsiya yo'lisiz. Access Server bilan qo'ng'iroq qiladigan sotuvchi bor va o'zgarish oynangizga mos kelsa ham, kelmasa ham uning chiqarish ritmini meros olasiz.

O'tishdan oldingi tekshiruvlar

Har qanday yo'nalishda o'tishdan oldin ishlab turgan server aslida nima saqlashini inventarizatsiya qiling. Access Server tomonida foydalanuvchilar ro'yxati va guruh tayinlashlarini eksport qiling va qaysi hisoblar MFA ga tayanishini belgilang. Community Edition tomonida chiqarilgan sertifikatlar, CRL va client-config-dir ostidagi har bir faylni sanang. Ikki ro'yxatni qator bo'yicha solishtiring, chunki ular orasidagi farq — ko'chirish ishi.

Eski xizmat hali ishlab turganda vakillik mijozlarini sinab ko'ring. openvpn --config client.ovpn --verb 4 oldingi planda qo'l berib ko'rishni, yuborilgan yo'nalishlarni va DNS parametrlarini chop etadi, openssl x509 -in client.crt -noout -subject -enddate esa mijoz aslida qaysi sertifikatni taqdim etishini ko'rsatadi. Ulanadigan, lekin ichki xostga yeta olmaydigan mijozda autentifikatsiya xatosi emas, yo'nalish yoki iroute bo'shligi bor.

Eski tiklash yo'lini almashtiruvchi muvaffaqiyatli sinov bilan birga rad etilgan kirish sinovidan ham o'tmaguncha tirik saqlang. Yakuniy xaritani bir sahifaga yozing: har bir talab, bugun uni qanoatlantiradigan artefakt va keyin qanoatlantiradigan artefakt.