VPN vào của Windows hay một máy chủ OpenVPN: chọn trong năm phút

Windows có thể nhận một kết nối VPN mà không cần cài gì ngoài hệ điều hành, và điều đó thực sự hữu ích khi hai máy bạn sở hữu cần một đường hầm trong một buổi chiều. Nó vẫn dùng được khoảng chừng đó. Trình lắng nghe tích hợp có một menu giao thức cố định, không có chính sách riêng cho từng máy khách, và phụ thuộc vào một máy tính để bàn mà ai đó có thể tắt. Việc chọn giữa nó, một điểm cuối trên router và một máy chủ OpenVPN phụ thuộc vào ba điều kiện, không phải sở thích.

Trình lắng nghe tích hợp thực ra là gì

Trình hướng dẫn kết nối vào biến một máy trạm thành một điểm cuối truy cập từ xa nhỏ. Bạn chọn tài khoản cục bộ nào được quay số vào, cách cấp địa chỉ và giao thức nào được bật: PPTP, cùng với L2TP/IPsec hoặc SSTP ở nơi phiên bản và công việc chứng chỉ hỗ trợ chúng.

Điều nó không phải là một tầng chính sách. Không có việc gán tuyến theo từng người dùng, không có đường hầm chia tách do máy chủ áp đặt, và không có sự tách biệt giữa đường hầm và danh tính mạng của chính máy trạm. Máy khách kết nối sẽ đáp xuống cùng phân đoạn với máy trạm, dưới các quy tắc tường lửa của phân đoạn đó.

Chính điểm cuối cùng đó là điều cần cân nhắc. Các cổng, thư mục chia sẻ và trình duyệt của máy trạm giờ đây ai giữ tài khoản cũng chạm tới được, và tài khoản đó là một tài khoản Windows cục bộ với mọi thứ khác mà nó vốn đã làm được.

Ba điều kiện quyết định

Hãy hỏi quyền truy cập phải kéo dài bao lâu, bao nhiêu người cần nó, và mạng có thể chuyển giao giao thức đó hay không.

Nếu câu trả lời là một máy, một người và vài giờ trên một mạng mà bạn kiểm soát router, thì trình lắng nghe tích hợp là tương xứng. Nếu quyền truy cập phải sống qua các lần khởi động lại trong một tháng, phục vụ năm đồng nghiệp với thông tin đăng nhập riêng, hoặc chạy từ một mạng di động không thể nhận kết nối vào, thì không. Nếu giao thức yêu cầu giao thức IP 47 thay vì một cổng, mạng có thể từ chối chuyển giao nó, bất kể Windows hỗ trợ gì.

Ba câu trả lời đó loại bỏ phần lớn cuộc tranh luận trong một lượt. Phần còn lại là chi tiết triển khai.

Nơi một điểm cuối trên router thắng thế

Một đường hầm kết thúc trên router là lựa chọn tự nhiên cho quyền truy cập lâu dài. Router vốn luôn bật, nó có thể mang một đường hầm giữa các địa điểm tới văn phòng khác, và máy khách không cần cài gì nếu router cung cấp giao thức họ dùng.

Hạn chế nằm ở phần sụn. Router tiêu dùng thường chỉ hỗ trợ một phần những gì đặc tả cho phép, và một mẫu quảng cáo hỗ trợ VPN có thể không có đúng giao thức bạn đã dự tính. Hãy xem danh sách tính năng của phần sụn đã cài, không phải của dòng sản phẩm.

Nơi một máy chủ OpenVPN thắng thế

Một máy chủ OpenVPN trên một máy nhỏ luôn bật phù hợp với máy khách hỗn hợp, nhiều người dùng với thông tin đăng nhập riêng, và những mạng nơi một cổng duy nhất thuận cho lưu lượng ra là khác biệt giữa chạy được và bị chặn. Nó phát hành một hồ sơ cho mỗi máy khách, chạy trên mọi nền tảng lớn, và từ phía máy khách hoạt động như một ứng dụng đi ra thông thường.

Nó cũng cần một người chủ. Ai đó phải gia hạn chứng chỉ, áp dụng bản cập nhật máy chủ và đọc nhật ký khi một máy khách không kết nối được. Không có người đó, một điểm cuối tự lưu trữ sẽ âm thầm suy tàn cho đến ngày nó thực sự quan trọng.

Kiểm tra đường đi trước khi hứa hẹn truy cập

Lý do phổ biến nhất khiến trình lắng nghe Windows thất bại không phải là xác thực. Đó là đường đi: PPTP cần TCP 1723 vào và GRE, thứ là giao thức 47 chứ không phải cổng, và nhiều router chỉ chuyển tiếp cổng. Một số mạng truy cập hoàn toàn không cho phép kết nối vào. Riêng sự thật đó loại bỏ trình lắng nghe tích hợp trên nhiều mạng hơn bất kỳ thiết lập Windows nào.

Hãy thử đường đi trước khi cấu hình tài khoản, để một thất bại chỉ có một nghi phạm thay vì ba:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Một cổng đóng ở dòng đầu tiên là vấn đề chuyển tiếp hoặc nhà mạng, không phải vấn đề Windows. Dòng thứ ba là bước kiểm tra bạn sẽ làm sau khi chọn OpenVPN, nơi một cổng UDP đang lắng nghe thay thế toàn bộ câu hỏi về giao thức.

Dù chọn phương án nào, đừng để PPTP hướng ra internet như một giải pháp lâu dài; xác thực và mã hóa của nó đã lỗi thời. Và nếu nhu cầu thật sự là một ứng dụng web duy nhất, proxy ngược là câu trả lời nhỏ hơn bất kỳ VPN nào.