Каковы недостатки OpenVPN?

Я видел очень много людей, всегда борющихся с IPSec и многими другими технологиями безопасного VPN. Я, например, всегда просто использовал OpenVPN, с красивыми и простыми и универсальными результатами. Я использовал его на маршрутизаторах DD-WRT, больших серверах и телефонах Android, чтобы назвать несколько.

Может кто-нибудь объяснить мне, что я упускаю? Есть ли какие-либо недостатки в OpenVPN, о которых я не знаю? Предлагает ли IPSec и друзья какую-то удивительную функцию, о которой я не знал? Почему не все используют OpenVPN?

ИМХО, самый большой недостаток OpenVPN заключается в том, что он не совместим с подавляющим большинством продуктов от известных сетевых поставщиков. Продукты Cisco и Juniper для обеспечения безопасности и маршрутизаторов не поддерживают его - они поддерживают только IPsec и собственные SSL VPN. Пало-Альто, Fortinet, Check Point и т. Д. Также не поддерживают его. Итак, если ваша организация / предприятие хочет настроить VPN-соединение между экстрасетями типа «сеть-сеть» с другой компанией, а у вас есть только устройство OpenVPN, вам, вероятно, не повезет.

Тем не менее, некоторые сетевые аппаратные и программные компании начинают использовать OpenVPN. MikroTik является одним из них. Это поддерживается с RouterOS 3.x:

http://wiki.mikrotik.com/wiki/OpenVPN

Кроме того, долгое время единственный способ запустить клиент OpenVPN на iOS от Apple требовал джейлбрейка. Это уже не так

https://itunes.apple.com/us/app/openvpn-connect/id590379981?mt=8

В целом ситуация улучшается. Однако без таких поставщиков, как Cisco и Juniper, которые внедрили бы их в свои продукты, я не смогу увидеть, чтобы крупные предприятия приняли его, не столкнувшись с проблемами взаимодействия.

IPSEC является стандартным. Почти каждый сетевой поставщик поддерживает это. Вы не можете достичь того же уровня взаимодействия между маршрутизаторами с OpenVPN.

Как сказал Дэвид, нет ничего плохого в OpenVPN для решения VPN клиента. Для межсетевых VPN-решений или инфраструктурных решений я бы выбрал IPSEC VPN.

Одним из недостатков является то, что в корпоративной среде некоторые менеджеры не любят полагаться на программное обеспечение с открытым исходным кодом.

Лично я не вижу ничего плохого в OpenVPN для решения VPN пользователя.

IPSEC может быть реализован аппаратно (или, скорее, как элемент шифрования IPSEC) и поэтому полезен, когда вы хотите передавать большие объемы данных через VPN и не хотите жертвовать мощностью ЦП на станциях конечных пользователей.

• OpenVPN имеет более безопасную реализацию (Userspace vs Kernel).

• Он лучше работает с межсетевыми экранами и NAT (нет необходимости обеспечивать NAT-T) и его трудно фильтровать.

• Это намного менее сложно, чем IPsec

OpenVPN не имеет определенных нормативных сертификатов, таких как поддержка FIPS 140-2.

Единственный технический недостаток OpenVPN, который я вижу, заключается в том, что по сравнению с конкурентами система вносит большую задержку в соединениях VPN . Обновление: я обнаружил, что это была ошибка не в OpenVPN вообще, а только в моих тестах. Когда OpenVPN запускается по протоколу TCP, издержки TCP делают OpenVPN немного медленнее. L2TP использует фиксированные порты и протоколы для взаимодействия, и, следовательно, нет функции для его запуска по TCP. Openvpn на UDP, кажется, быстрее для многих других пользователей.

Единственное другое преимущество при использовании PPTP / L2TP / Ipsec - это то, что мне было проще настраивать компьютер под управлением Windows или iPhone без установки дополнительного клиентского программного обеспечения. YMMV.

Вы можете прочитать эту страницу

Я предпочитаю IPSec почти каждый раз, потому что я знаком с ним, и он всегда работает. Основанный на стандартах, он поддерживается практически всем, от телефонов и планшетов до компьютеров с Windows и Linux, и имеет полезные функции, такие как поддержка NAT и обнаружение мертвых узлов.

К вашему сведению, я использую в первую очередь Openswan на Linux.

Одна из главных причин безопасности, которую мы предпочитаем IPSec - это ротация сеансовых ключей. OpenVPN, возможно, реализовал это (но я этого не вижу). Это означает, что злоумышленник, который пассивно захватывает данные в течение длительного времени, не может перебрать весь журнал сообщений сразу, а только ценность каждого отдельного сеансового ключа.

OpenVPN имеет лучевую разметку, поэтому все коммуникации должны проходить через главный сервер. Tinc-VPN может выполнять маршрутизацию между разными сайтами. Вы можете прочитать этот блог: http://www.allsundry.com/2011/04/10/tinc-better-than-openvpn/