OpenVPN 相对于 SSTP 的优势是什么？

Question

如果只考虑 Windows 环境，引入 OpenVPN 作为公司 VPN 服务而不是 Windows 内置协议有什么好处？特别是新的 SSTP 协议已经克服了 PPTP 的弱点之一，它可能不会越过防火墙/NAT。

我想知道有什么理由不使用 Windows 集成解决方案。安全强度可能是一个问题，但我不确定它们有多大不同（我知道 MS VPN 很容易受到攻击，但它仍然存在吗？）

谢谢。

Answer 1

OpenVPN 客户端的可用性比 SSTP 更广泛（至少现在是这样）。例如，我可以购买带有嵌入式 OpenVPN 客户端的 IP 电话。AFAIK，微软没有将 SSTP 客户端向后移植到 Windows XP（最初，他们说他们会），因此切断了庞大的客户群。但是，相比之下，SSTP 不需要在支持的客户端操作系统上安装第三方软件。

与 Microsoft 的产品一样，OpenVPN 没有每个客户端的许可费用。（我不会就哪些特定用途需要 Windows CAL 而哪些不需要提供我的意见......在一些文档中，Microsoft 声称DHCP 客户端需要 CAL，所以我倾向于给他们一个宽阔的泊位。如果我的看门人我的 Windows Server 机器周围的灰尘我可能需要他们的 CAL。无论如何，了解许可的正确位置是软件“制造商” ......）

OpenVPN 客户端内置的接收“推送”路由的功能比 Microsoft 的 VPN 客户端更灵活（除非您使用 CMAK，这在实践中对我来说并不可靠）。

Answer 2

OpenVPN 在仅 Win 环境中的主要优势是使用 UDP 作为底层承载，因为这避免了“TCP 崩溃问题”，请参阅http://sites.inka.de/bigred/devel/tcp-tcp.html了解更多信息关于 TCP 中的 TCP。

hth，cheerio 史蒂夫

Answer 3

请注意，不幸的是 SSTP（截至 2011 年 11 月）将无法通过具有身份验证的代理服务器工作。这是记录在案的，尽管没有多少人意识到这一点。

网络管理员也可以使用非身份验证代理来检测 SSTP 标头并断开连接。所以关于它跨越任何防火墙等的说法是正确的，但有一些保留。

OpenVPN 能够在具有身份验证的代理上通过 HTTPS 。阻止此流量要困难得多，因为它看起来像普通的“SSL”，但事实并非如此！可以通过对内容的第一个字节进行一些包检查来阻止这些包。这种模式下的 OpenVPN 失去了“UDP”性能增益，因为 OpenVPN 将在 TCP 模式下工作。所以在这个意义上它等于SSTP。

对于 OpenVPN，在服务器端，如果您在端口 443 上还有一个 Web 服务器，则需要有两个公共 IP，这是商业版。对于社区版，可以在同一 IP 上共享 443 端口，因为服务器检测到非 OpenVPN 协议，将流量重定向到备用 Web 服务器 (443)。这仅适用于 Linux 版本的 OpenVPN 服务器。

在 SSTP 上，可以为 SSTP 流量和普通 Web 服务器保护的页面共享相同的 IP/端口 443。

在 SSTP 上，在到达 RRAS 服务器之前，网络上可能有一个 SSL 卸载设备。在 OpenVPN 上，因为流量并不是真正“真正的”SSL，即 openVPN 协议封装了 SSL 负载，这是不可行的。

在 OpenVPN 社区中，您需要处理 KPI 基础设施、证书等，有时这可能是一个更难的学习曲线......（在社区版上）。在商业版中，此任务变得更容易。

在 OpenVPN 商业版上，身份验证可以与 LDAP 集成（例如在 AD 上）。在社区这是不可能的（不完全确定，但几乎！）。更多围绕客户证书的想法；虽然可以使用更简单的证书方案。

O SSTP，这是显而易见的。

OpenVPN 在 UDP 模式下工作非常好，但是 PPTP 也可以在数据通道（GRE 协议）的 UDP 上工作。因为问题是 SSTP 和 OpenVPN 之间的比较，所以假设我们正在比较 TCP 流量。

所以你看......没有更好或更糟......在我的情况下，由于我的功能要求，我努力选择一个......但仍然对我不得不选择的一个（SSTP）不完全满意，但是还算满意。我这样说是因为如果网络（酒店）阻止了 PPTP，那么可以使用 SSTP……这是由 VPN 客户端自动处理的。

OpenVPN 客户端具有类似的回退机制。

Linux 已经支持 SSTP，但该项目似乎处于初始阶段。