Chúng tôi dùng OpenVPN: giao thức, engine hay ứng dụng? Nên hỏi điều gì thay vào đó

Câu «chúng tôi dùng OpenVPN» đến trong phiếu hỗ trợ, biểu mẫu mua sắm và tài liệu cho nhân viên mới, và trong mỗi nơi nó trả lời một câu hỏi khác. Đôi khi nó gọi tên một giao thức truyền tải, đôi khi là phần mềm trên một cổng nối, và đôi khi là ứng dụng mà nhân viên mới phải cài. Ba sự thật đó dẫn đến những bước tiếp theo khác nhau, và hỏi xem ý là cái nào tốn ít thời gian hơn là đoán. Phần còn lại của cuộc điều tra bắt nguồn từ câu trả lời đó.

Hãy bắt đầu bằng việc tách vai trò khỏi thương hiệu, vì thương hiệu bao trùm cả ba.

Cái tên bao trùm ba vai trò hỏng theo những cách khác nhau

Là một giao thức, OpenVPN mô tả cách các bên tương thích dựng đường hầm và bảo vệ những gì đi qua nó. Là phần mềm, nó là một hiện thực nói giao thức đó ở vai trò máy khách hoặc máy chủ. Là máy khách, nó là ứng dụng mà ai đó cài đặt, với phiên bản riêng, định dạng hồ sơ riêng và những nét đặc thù của nền tảng. Hỏng ở một vai trò không có nghĩa là hỏng ở vai trò khác, vì thế «OpenVPN bị sập» cần có chủ ngữ.

Hỏi xem người báo cáo nhìn thấy gì: một tệp hồ sơ, một chương trình đã cài, hay một cổng nối mà họ quản trị. Chi tiết duy nhất đó cho bạn biết bước tiếp theo là nhật ký máy khách, câu hỏi về gói, hay việc kiểm tra trình lắng nghe phía máy chủ.

OpenVPN 2 và OpenVPN 3 không phải một cặp nâng cấp

OpenVPN 2.x chạy ở cả vai trò máy chủ lẫn máy khách, và đó là thứ mà hầu hết các triển khai cổng nối vẫn dùng. OpenVPN 3 là một hiện thực riêng hướng tới máy khách, với cấu hình và mô hình phiên của riêng nó, không phải bản phát hành kế tiếp mà bạn cài đè lên máy chủ 2.x. OpenVPN Connect là một ứng dụng máy khách được xây trên engine OpenVPN 3. Cài bất kỳ cái nào trong số đó không tạo ra dịch vụ lối ra internet; lối ra là thứ mà nhà vận hành đã cấu hình.

Tương thích ở mức giao thức không mở rộng tới các chỉ thị của hồ sơ, nên một hồ sơ nhập vào sạch vẫn có thể hỏng ở chỉ thị mà máy khách không hiện thực.

Truyền tải không phải là ứng dụng bên trong nó

Kết nối bên ngoài dùng một truyền tải như UDP hoặc TCP để tới trình lắng nghe đã cấu hình, và mọi thứ đường hầm chuyên chở đều đi bên trong nó. Một yêu cầu web thực hiện qua VPN không cần trình lắng nghe OpenVPN riêng, và nó không trở thành gói OpenVPN trên dây. Ở chế độ TLS, kênh điều khiển thương lượng vật liệu khóa trong khi kênh dữ liệu bảo vệ tải trọng, và đây là sự phân tách đáng để giữ đúng khi đọc nhật ký.

Nhầm lẫn các tầng sinh ra những yêu cầu như mở cổng cho một trang web vốn đã chạy qua đường hầm. Cổng thuộc về kết nối bên ngoài, không thuộc về ứng dụng.

Hồ sơ có thể hứa gì và không thể hứa gì

Một hồ sơ nói cho một máy khách cách tới một dịch vụ: điểm cuối, truyền tải, vật liệu danh tính và thường là vài tùy chọn định tuyến cùng DNS. Nó không nói gì về việc ai vận hành dịch vụ đó hay tài khoản có được cấp quyền hay không. Các tuyến, thiết lập trình phân giải, quy tắc chuyển tiếp và chính sách truy cập quyết định phiên thực sự tới được đâu. Một hồ sơ nhập thành công là khởi đầu của một kết nối hoạt động, không phải bằng chứng về nó.

Khi ai đó hỏi liệu một tài nguyên có tới được qua VPN không, câu trả lời phụ thuộc vào chính sách của máy chủ chứ không phải tệp cấu hình của máy khách.

Hãy yêu cầu thứ có thể cung cấp được

Biến cái tên rộng thành ba điều cụ thể: máy khách và phiên bản của nó, hồ sơ được cấp quyền cho máy khách đó, và tài nguyên mà người đó cần tới. Với những thứ đó, việc cung cấp là một nhiệm vụ cụ thể. Không có chúng, mọi câu trả lời chỉ là phỏng đoán xem câu hỏi muốn nói tới OpenVPN nào.

Ghi câu trả lời ngay trong yêu cầu. Phiếu tiếp theo sẽ hỏi đúng câu đó theo đúng cách mơ hồ đó.