OpenVPN Access Server so với Community: điều gì thực sự được chuyển

Hồ sơ được chuyển; danh sách người dùng ở lại. Một nhóm chuyển đổi giữa Access Server và Community Edition gặp khoảng trống đó một giờ sau khi cắt chuyển, khi máy khách đầu tiên xác thực và sau đó không có chính sách nhóm, không có tuyến theo người dùng và không có đặt lại mật khẩu tự phục vụ. Cả hai sản phẩm nói cùng một giao thức và chấp nhận cùng một máy khách, và chính vì thế khoảng trống vẫn vô hình trong quá trình lập kế hoạch. Điều bạn thực sự chọn là lớp quản lý và những người sở hữu nó.

Hãy coi quyết định là một câu hỏi kiểm kê chứ không phải bảng tính năng. Hỏi ai tạo người dùng, ai thu hồi chứng chỉ và ai trả lời cuộc gọi lúc 02:00.

Tại sao tệp .ovpn không mang theo cấu hình

Một hồ sơ .ovpn mô tả quan hệ của một máy khách với một máy chủ: máy chủ từ xa, giao thức, CA, chứng chỉ và khóa máy khách, và mọi tài liệu tls-crypt nội tuyến. Thả tệp đó vào bản dựng mới và máy khách vẫn hoàn tất bắt tay, nên quá trình chuyển trông như đã xong. Không có gì trong đó liệt kê người dùng, nhóm của họ, tuyến tĩnh của họ hay chính sách quyết định ai được phép kết nối. Những bản ghi đó sống trong kho lưu trữ của chính máy chủ, và hai sản phẩm lưu chúng ở các dạng khác nhau.

Trong Community Edition, tương đương là những tệp bạn tự giữ: các mục client-config-dir với tùy chọn theo từng máy khách như ifconfig-push và iroute, một CRL cho việc thu hồi và khóa tls-crypt. Access Server giữ các khái niệm tương tự trong cơ sở dữ liệu riêng và phơi bày chúng qua bảng điều khiển web và công cụ dòng lệnh sacli. Các khái niệm khớp một-một; các hiện vật hoàn toàn không di chuyển.

Hồ sơ cũng tuồn vào những hành vi mà không ai để ý cho đến khi nó thay đổi. Máy khách có redirect-gateway def1 gửi toàn bộ duyệt web qua máy chủ; chuyển nó sang bản dựng không có dòng đó và lời phàn nàn sẽ là internet hỏng. CA không khớp hoặc cấu hình remote-cert-tls sai hỏng ầm ĩ, đó là kết quả tốt. Khóa tls-crypt thiếu hỏng như một hết thời gian im lặng, đó không phải kết quả tốt.

Lớp quản lý nắm giữ những gì

Đếm những gì không phải giao thức: tạo tài khoản, đặt lại mật khẩu, gán nhóm, đăng ký MFA, quyền kết nối và dấu vết kiểm toán trả lời ai đã kết nối khi nào. Community Edition không cung cấp trực tiếp bất kỳ điều nào trong số đó. Bạn chọn một chương trình xác thực, nối PAM, LDAP hoặc RADIUS qua tiện ích hoặc auth-user-pass-verify, và tự duy trì phần còn lại. Access Server cung cấp cổng người dùng, bảng điều khiển quản trị và tích hợp với các nhà cung cấp danh tính phổ biến. Không bố cục nào an toàn hơn theo mặc định, vì chính sách vẫn phải do người hiểu mạng viết.

Quyền là khác biệt vận hành sắc nét nhất. Access Server được cấp phép theo số kết nối đồng thời và thực thi con số đó bằng phần mềm. Trong Community Edition, giới hạn toàn cục là một dòng max-clients duy nhất, trong khi bất cứ điều gì theo người dùng hoặc theo nhóm đều có nghĩa là nhiều việc client-config-dir hơn và sự thực thi của riêng bạn. Một nhóm không muốn bảo trì việc đó đang mua chính điều đó khi trả tiền cho sản phẩm thương mại.

Cấp phép và hỗ trợ: khoản mục không ai đưa vào ngân sách

Community Edition miễn phí và mã nguồn mở. Access Server là thương mại, và gói miễn phí của nó từ trước đến nay bao phủ một số lượng nhỏ kết nối đồng thời với giấy phép trả phí ở trên. Bất kỳ con số nào trích từ một câu trả lời diễn đàn cũ đều đã lỗi thời, vì vậy hãy kiểm tra điều khoản hiện tại của nhà cung cấp trước khi tính chi phí dự án. So sánh trung thực cộng số giờ dành cho việc xây dựng quản lý người dùng, MFA và giám sát ở phía cộng đồng vào dòng giấy phép ở phía thương mại.

Quyền sở hữu hỗ trợ theo cùng cách phân chia. Với Community Edition, bạn là đường leo thang cho mọi máy khách kỳ lạ và mọi bản cập nhật nhân. Với Access Server, bạn có nhà cung cấp để gọi, và bạn thừa hưởng nhịp phát hành của họ, dù nó có phù hợp với cửa sổ thay đổi của bạn hay không.

Các kiểm tra trước khi chuyển

Kiểm kê những gì máy chủ đang chạy thực sự giữ trước khi chuyển theo bất kỳ hướng nào. Ở phía Access Server, xuất danh sách người dùng và phân công nhóm và ghi lại tài khoản nào dựa vào MFA. Ở phía Community Edition, liệt kê chứng chỉ đã phát hành, CRL và mọi tệp dưới client-config-dir. So sánh hai danh sách từng dòng, vì khác biệt giữa chúng chính là công việc chuyển đổi.

Kiểm tra các máy khách đại diện trong khi dịch vụ cũ vẫn đang chạy. openvpn --config client.ovpn --verb 4 ở tiền cảnh in ra bắt tay, các tuyến được đẩy và tùy chọn DNS, và openssl x509 -in client.crt -noout -subject -enddate cho thấy máy khách thực sự trình bày chứng chỉ nào. Một máy khách kết nối được nhưng không tới được máy chủ nội bộ có khoảng trống tuyến hoặc iroute, không phải lỗi xác thực.

Giữ đường khôi phục cũ sống cho đến khi bản thay thế vượt qua cả bài kiểm tra từ chối truy cập lẫn bài kiểm tra thành công. Viết bản đồ cuối cùng trên một trang: từng yêu cầu, hiện vật đáp ứng nó hôm nay và hiện vật sẽ đáp ứng nó sau này.