OpenVPN的缺点是什么？

29

我一直看到有很多人一直在努力使用IPSec和许多其他安全VPN技术。我曾经一度简单地使用过OpenVPN，并获得了美观，简单和通用的结果。我已经在DD-WRT路由器，大型服务器和Android手机上使用了它，仅举几例。

有人可以告诉我我错过了什么吗？我不知道OpenVPN有什么缺点吗？IPSec和朋友是否提供一些我不知道的强大功能？为什么每个人都不使用OpenVPN？

vpn  ipsec 
— 用户名
source

Answers:

20

恕我直言，OpenVPN的最大缺点是，它无法与“知名”网络供应商提供的绝大多数产品互操作。Cisco＆Juniper的安全和路由器产品不支持它-它们仅支持IPsec和专有SSL VPN。Palo Alto，Fortinet，Check Point等也不支持。因此，如果您的组织/企业希望建立到另一家公司的站点到站点Extranet VPN，而您只有一台OpenVPN设备，那么您可能会不走运。

话虽如此，一些网络硬件和软件公司已开始采用OpenVPN。MikroTik是其中之一。从RouterOS 3.x开始受支持：

http://wiki.mikrotik.com/wiki/OpenVPN

同样，最长的时间里，在苹果公司的iOS上运行OpenVPN客户端的唯一方法就是越狱。事实并非如此：

https://itunes.apple.com/us/app/openvpn-connect/id590379981?mt=8

总体而言，情况正在改善。但是，如果没有像Cisco＆Juniper这样的供应商在其产品中实现它，我看不到大型企业在不面临互操作性问题的情况下采用它。

— 马克·卡米乔夫（Mark Kamichoff）
source
pfSense pfsense.org以及Mikrotik OpenVPN都已经存在（并且已经存在了一段时间）（尽管我不相信您可以通过CLI创建站点到站点的隧道？
— jwbensley，
我不知道他们是一个OpenVPN IOS应用，是的！
— zevlag
6

IPSEC是标准的。几乎每个网络供应商都支持它。使用OpenVPN，您无法在路由器之间达到相同水平的互操作性。

正如David所说，对于客户端VPN解决方案，OpenVPN没什么问题。对于站点到站点的VPN或基础结构解决方案，我选择IPSEC VPN。

— 谢尔盖夫
source
5

缺点之一是，在公司环境中，某些管理人员不喜欢依赖开源软件。

我个人认为OpenVPN对于用户VPN解决方案没有问题。

IPSEC可以在硬件（或IPSEC的加密元素）中实现，因此当您想通过VPN推送大量数据并且不想牺牲最终用户站的CPU能力时，IPSEC很有用。

— 大卫·罗瑟拉（David Rothera）
source
有全硬件IPsec解决方案。但是，它们是a）昂贵的，b）几乎总是Windows（服务器）专有的。（与NIC [cavium]串联的密码，或直接内置在nic [intel]的密码）
— Ricky Beam
我指的是像ASA那样在硬件中加密的东西。
— 大卫·罗瑟拉
我当时正在考虑这样做的网卡。如今，许多路由器/防火墙硬件都具有加密芯片。（关键信息是非常昂贵的部分，'在大多数路由器中使用的贫血处理器也需要它来实现流量）
— Ricky Beam
我认为IPSEC在硬件方面是IPSEC的一大优势。OpenVPN曾经是单线程（并且我仍然认为是，但是我找不到任何权威性文档）。在协助一家商业VPN公司开办初期调查时，它被放弃了，因为OpenVPN的速度不够快。请参阅此ServerFault答案以获取一些见解（有关并发连接的更多信息）；serverfault.com/questions/439848/…对于您来说，速度可能并不那么重要，我们正在考虑销售100Mbps VPNS。
— jwbensley
1

  • OpenVPN具有更安全的实现（用户空间与内核）。

  • 它与防火墙和NAT（无需确保NAT-T）一起使用时效果更好，并且很难过滤。

  • 比IPsec复杂得多

— 赫苏夫
source
3
询问的是关于OpenVPN的缺点...
— tegbains
用户空间并不是天生就比内核空间更安全，安全性最好是由审查和测试决定的-原因之一就是标准化。
— mikebabcock
2
其实是。从系统的角度来看，在用户空间中实现VPN比在内核中实现更为安全。有关更多详细信息，请参阅
— hyussuf
自从最初发布此答案以来，情况有所发展。特别是，2014年的Heartbleed漏洞不幸地提醒我们所有人，OpenSSL上的深度漏洞如何影响整个OpenVPN。它还表明在用户空间中运行并不会降低攻击的重要性，因为VPN软件极有可能与高度敏感的内容进行联系，并且通常会在VPN计算机和/或其他计算机上跟踪获得root特权的路径。周围。最后，大多数企业防火墙解决方案现在都通过深度数据包检查来阻止OpenVPN…
— jwatkins '16
1

OpenVPN没有某些法规认证，例如FIPS 140-2支持。

— 啊
source
1
实际上，OpenVPN可以提供FIPS 140-2支持...经过认证的opensl和OpenVPN修补程序可以通过认证的方式使用...事实上，我们正在这样做。
— 杰夫·麦克亚当斯
1

我看到的OpenVPN唯一的技术缺点是，与竞争对手相比，该系统在VPN链路中引入了很多延迟。更新：我发现这不是一般的OpenVPN故障，而是我的测试。当OpenVPN在TCP协议上运行时，TCP开销使OpenVPN稍微慢一些。L2TP使用固定的端口和协议来实现互操作性，因此没有在TCP上运行它的功能。对于许多其他用户，UDP上的Openvpn似乎更快。

使用PPTP / L2TP / Ipsec时，唯一的其他优点是，我发现可以在Windows机器或iPhone上进行设置而不安装任何其他客户端软件就更容易。YMMV。

您可能需要阅读此页面

— Surajram Kumaravel
source
1
在我工作的地方，我们经常使用OpenVPN，因此没有意识到其他延迟问题。您能详细说明一下它的性质吗？
— 杰夫·麦克亚当斯
当尝试在远程工作站上使用软件电话来加密与VoIP服务器的连接时，我测试了OpenVPN，L2TP和PPTP。我发现OpenVPN引入了最大的延迟，而PPTP是最快的。最终我选择了L2TP。延迟问题仅在少数较差的3G网络上出现，但即使在同一网络上，L2TP似乎也可以正常工作。
— Surajram Kumaravel
阅读ivpn.net/pptp-vs-l2tp-vs-openvpn使我认为这是我的设置中的特定问题，而不是一般问题。感谢您帮助我认识Jeff！
— Surajram Kumaravel
1

我几乎每次都喜欢IPSec，因为我熟悉IPSec，并且它始终有效。它是基于标准的，几乎涵盖了从电话，平板电脑到Windows和Linux计算机的所有内容，并且具有有用的功能，如NAT支持和死点检测。

仅供参考，我主要在Linux上使用Openswan。

我们更喜欢IPSec的主要安全原因之一是旋转会话密钥。OpenVPN可能已实现了此功能（但我看不到）。这意味着长期被动地捕获数据的攻击者无法一次蛮力地破解整个通信日志，而只能强行使用每个单独的会话密钥。

— 麦克巴科克
source
作为比较，OpenVPN还可以通过NAT进行工作，并且在PC，电话和台式机（Windows，Mac OS X，Linux，BSD，Android，iOS等）上受支持。
— jwbensley
我的意思是内置支持，也许不是明显的@javano
— mikebabcock 2013年
我将假设您从未使用过OpenVPN。没有使用过OpenVPN和IPsec的人会选择IPsec，因为它“始终有效”。OpenVPN的最大优点之一是大大降低了复杂性，并且易于排除故障。我看到这是几年前将数百种远程Linux设备（在客户站点中居住）从IPsec转换为OpenVPN的人。如果必须连接到您不管理/控制的仅支持IPsec的设备，则IPsec很好。在几乎所有其他情况下，OpenVPN都是更好的选择。
— Christopher Cashell
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.