Khi cần truy cập máy chủ hoặc ứng dụng nội bộ từ bên ngoài văn phòng, nhiều người tìm đến OpenVPN. Hiểu đúng OpenVPN Server giúp bạn phân biệt phần mềm máy chủ với ứng dụng kết nối, biết dữ liệu đi qua đường hầm VPN như thế nào và lựa chọn cách triển khai phù hợp.
OpenVPN Server là gì?
OpenVPN Server là phần mềm hoặc dịch vụ chạy trên một máy chủ, tiếp nhận kết nối từ các thiết bị đã cài ứng dụng VPN tương thích. Sau khi xác thực và thiết lập đường hầm VPN, máy chủ có thể cho phép thiết bị truy cập vào một số mạng hoặc tài nguyên được cấu hình.
OpenVPN thường được nhắc đến như một giao thức và bộ phần mềm VPN mã nguồn mở. Vì vậy, “OpenVPN Server” không phải tên một loại phần cứng riêng: nó có thể chạy trên máy chủ vật lý, máy chủ tại văn phòng hoặc máy ảo trên nền tảng đám mây. OpenVPN hỗ trợ kết nối qua TCP hoặc UDP và sử dụng TLS trong cơ chế bảo mật.
Cần phân biệt ba khái niệm thường gặp:
- OpenVPN: Giao thức và phần mềm dùng để tạo kết nối VPN
- OpenVPN Server: Đầu cuối VPN chạy trên máy chủ, quản lý kết nối, xác thực và định tuyến
- OpenVPN Client: Ứng dụng trên máy tính hoặc điện thoại dùng để kết nối đến server. OpenVPN Connect là một trong những ứng dụng client, đồng thời có thể làm việc với các server OpenVPN mã nguồn mở
>> Xem thêm: Hướng dẫn cài đặt OpenVPN Server và Client trên CentOS 7
OpenVPN Server hoạt động như thế nào?
Để hình dung vai trò của server, hãy theo dõi các bước từ lúc thiết bị gửi yêu cầu kết nối đến khi được phép truy cập mạng. Có thể hình dung OpenVPN Server như một cổng vào mạng riêng. Người dùng kết nối từ thiết bị của mình, nhưng chỉ truy cập được những mạng và dịch vụ mà máy chủ được cấu hình cho phép.
OpenVPN Server hoạt động theo mô hình client–server, sử dụng công nghệ mã hóa dựa trên SSL/TLS
Quá trình thường diễn ra như sau:
- Client gửi yêu cầu kết nối đến địa chỉ và cổng của OpenVPN Server
- Hai đầu xác thực và thương lượng khóa: Kênh điều khiển xử lý xác thực, thương lượng khóa và cấu hình kết nối
- Đường hầm VPN được thiết lập: Kênh dữ liệu mã hóa và vận chuyển các gói tin qua đường hầm
- Server áp dụng địa chỉ IP và tuyến mạng: Client được cấp địa chỉ trong mạng VPN; việc client có thể truy cập máy chủ nội bộ hay toàn bộ lưu lượng Internet đi qua VPN còn phụ thuộc vào cấu hình routing.
OpenVPN hỗ trợ truyền tải qua UDP và TCP. Tài liệu OpenVPN cho biết UDP được thiết kế để vận hành tối ưu; TCP có thể được dùng trong tình huống UDP không sử dụng được, nhưng thường kém hiệu quả hơn trên mạng không ổn định hoặc tắc nghẽn.
Cấu hình định tuyến quyết định lưu lượng nào đi qua đường hầm VPN. Hai cách phổ biến là split tunnel và full tunnel.
Với split tunnel, chỉ lưu lượng đến mạng nội bộ được gửi qua VPN; các kết nối Internet thông thường tiếp tục đi qua mạng hiện tại của thiết bị.
Với full tunnel, toàn bộ lưu lượng Internet của client được định tuyến qua VPN Server. Cách này thay đổi đường đi của lưu lượng và yêu cầu máy chủ, băng thông, DNS cùng chính sách truy cập được cấu hình phù hợp. OpenVPN Access Server có tùy chọn điều khiển việc định tuyến toàn bộ lưu lượng qua VPN hoặc chỉ định tuyến lưu lượng đến mạng riêng.
OpenVPN Server thường được dùng vào việc gì?
Tùy nhu cầu, OpenVPN có thể hỗ trợ truy cập từ xa vào mạng riêng hoặc kết nối các mạng ở nhiều địa điểm. Mỗi trường hợp cần cấu hình quyền truy cập và định tuyến tương ứng.
Truy cập tài nguyên nội bộ từ xa
Nhân viên có thể kết nối đến VPN trước khi truy cập máy chủ Git, hệ thống quản trị, cơ sở dữ liệu hoặc ứng dụng nội bộ. Quản trị viên cần cấu hình tuyến mạng và quyền truy cập theo nhu cầu, thay vì mặc định mở toàn bộ mạng công ty cho mọi tài khoản.
Nhân viên truy cập tài nguyên nội bộ từ xa dễ dàng
Kết nối các mạng ở nhiều địa điểm
OpenVPN có thể được cấu hình trong kiến trúc kết nối mạng với mạng, chẳng hạn giữa văn phòng và một mạng đặt trên cloud. Cách làm này cần thiết lập routing ở các đầu mạng liên quan; chỉ cài phần mềm lên server chưa đủ để các mạng tự nhìn thấy nhau.
Sử dụng OpenVPN để kết nối các mạng LAN ở nhiều địa điểm khác nhau
Tạo điểm kết nối VPN do tổ chức tự quản lý
Tổ chức có thể vận hành server trên hạ tầng của mình để quản lý tài khoản, cấu hình và đường truy cập. Đổi lại, đội ngũ kỹ thuật phải chịu trách nhiệm cập nhật phần mềm, bảo vệ thông tin xác thực, quản lý cấu hình mạng và theo dõi hoạt động của server.
OpenVPN Server có an toàn không?
OpenVPN thiết lập các kênh bảo mật để xác thực, trao đổi khóa và truyền dữ liệu trong đường hầm. Tuy nhiên, chỉ cài OpenVPN không đồng nghĩa toàn bộ hệ thống đã an toàn.
OpenVPN Server nhìn chung rất an toàn và được coi là một trong những tiêu chuẩn vàng trong công nghệ
Mức độ bảo vệ còn phụ thuộc vào cách triển khai: ai được cấp tài khoản, mỗi người được truy cập những mạng nào, cấu hình chứng chỉ và khóa ra sao, phần mềm có được cập nhật không, và hệ thống có giám sát đăng nhập hay không. Tài liệu OpenVPN Access Server mô tả việc phân quyền truy cập theo cấp toàn cục, nhóm và người dùng; nguyên tắc thực tế là chỉ cấp quyền cần thiết cho từng nhóm.
Đường hầm mã hóa bảo vệ lưu lượng giữa client và VPN Server. Nếu lưu lượng tiếp tục đi từ server ra một dịch vụ Internet, việc bảo vệ chặng tiếp theo còn tùy vào giao thức của dịch vụ đó. VPN cũng không thay thế các biện pháp bảo vệ thiết bị đầu cuối, tài khoản hay ứng dụng.
Nên chọn Community Edition hay Access Server?
OpenVPN có nhiều lựa chọn triển khai. Hai hình thức tự quản lý thường được nhắc đến là:
- Community Edition: Mã nguồn mở, miễn phí và linh hoạt; phù hợp với người có khả năng tự cấu hình, vận hành và xử lý sự cố
- Access Server: Sản phẩm self-hosted của OpenVPN, bổ sung giao diện quản trị web và các tính năng cho môi trường doanh nghiệp. Mô hình cấp phép và tính năng cụ thể cần được kiểm tra theo nhu cầu sử dụng.
Nếu đội ngũ có kinh nghiệm Linux, quản trị mạng và PKI, Community Edition có thể đáp ứng nhu cầu tự cấu hình. Nếu cần quản lý người dùng thuận tiện hơn, nên đánh giá Access Server hoặc một dịch vụ VPN được quản lý. Trong cả hai trường hợp, hãy xác định trước số lượng người dùng, mạng cần truy cập, yêu cầu phân quyền, khả năng chịu tải và phương án dự phòng.
Triển khai OpenVPN Server trên Bizfly Cloud
Nếu muốn tự quản lý phần mềm VPN trên hạ tầng cloud, bạn có thể cân nhắc dùng một máy ảo trên Cloud Server của Bizfly Cloud. Đây là lựa chọn về hạ tầng để triển khai server; việc cài đặt, cấu hình OpenVPN, thiết lập firewall, routing và vận hành vẫn cần được thực hiện theo thiết kế của hệ thống.
Nếu nhu cầu là kết nối mạng Bizfly Cloud với văn phòng, datacenter hoặc VPC của nhà cung cấp cloud khác, hãy xem Bizfly Cloud VPN. Theo tài liệu Bizfly Cloud, dịch vụ này cung cấp kết nối site-to-site qua IPsec, hỗ trợ IKEv1 và IKEv2; đây là một lựa chọn VPN khác, không phải OpenVPN Server.
Câu hỏi thường gặp về OpenVPN Server
Các câu hỏi dưới đây giúp làm rõ yêu cầu về hạ tầng, chi phí và cách kết nối trước khi chọn giải pháp.
OpenVPN Server có cần một máy chủ riêng không?
OpenVPN cần chạy trên một máy chủ có thể tiếp nhận kết nối từ client. Máy chủ đó có thể là máy vật lý hoặc máy ảo; ngoài cài phần mềm, cần cấu hình cổng kết nối, firewall, địa chỉ mạng và tuyến đến các tài nguyên cần truy cập.
OpenVPN Server có miễn phí không?
Community Edition là dự án mã nguồn mở miễn phí. Access Server là sản phẩm riêng với mô hình cấp phép và tính năng khác; hãy kiểm tra điều kiện hiện hành trước khi chọn.
OpenVPN Server có giống ứng dụng OpenVPN Connect không?
Không. Server tiếp nhận và quản lý các kết nối VPN. OpenVPN Connect là ứng dụng client chạy trên thiết bị người dùng để nhập cấu hình và kết nối đến server tương thích.
OpenVPN Server dùng UDP hay TCP?
OpenVPN hỗ trợ cả UDP và TCP. UDP thường là lựa chọn ưu tiên theo tài liệu OpenVPN; TCP có thể hữu ích khi UDP không dùng được trong môi trường mạng cụ thể. Hai đầu kết nối cần được cấu hình tương thích.
OpenVPN Server có thể kết nối mạng văn phòng với cloud không?
Có thể, nếu thiết kế VPN hỗ trợ kết nối giữa các mạng và cấu hình routing ở các đầu phù hợp. Trước khi triển khai, cần xác định subnet, chính sách truy cập và cách các thiết bị trong từng mạng gửi lưu lượng về VPN gateway.
OpenVPN Server là phần mềm chạy trên máy chủ để thiết lập và quản lý kết nối VPN cho client. Giải pháp phù hợp khi cần tự kiểm soát điểm kết nối và quyền truy cập mạng, nhưng hiệu quả và độ an toàn phụ thuộc đáng kể vào cấu hình, vận hành và phân quyền. Hãy xác định rõ nhu cầu là truy cập từ xa hay kết nối site-to-site trước khi chọn cách triển khai.
