Konsentrator of gateway? Waar die VPN-terminator in jou pad lê

Twee verskaffers kan dieselfde boks 'n konsentrator en 'n gateway noem, en nie een van die woorde sal vir jou sê waar die verkeer ontsyfer word nie. Die etikette beskryf ontplooiingsrolle eerder as protokolle, en die rolle oorvleuel in elke rigting. Wat vir 'n ontwerphersiening saak maak, is die toestel wat die tonnel termineer, die beheermaatreëls daarom, en die pad wat 'n ontsyferde versoek volg. Besluit op grond van dié drie, en die selfstandige naamwoord op die datablad hou op om 'n argument te wees.

Twee etikette, een besluit

'n Konsentrator beteken gewoonlik die sentrale stelsel wat baie verbindings gelyktydig ontvang en bestuur, en die woord dra 'n implikasie van skaal. 'n Gateway is die breër term vir 'n eindpunt wat 'n tonnel by die netwerke agter hom aansluit, en dit kan 'n roeteerder, 'n firewall of 'n bestuurde diens beskryf. Nie een woord noem 'n protokol nie, en nie een belowe 'n bepaalde funksiestel nie. Dieselfde toestel kan deur twee verskaffers onder albei name verkoop word, en daarom word die terminologie-argument nooit opgelos nie.

Behandel die etiket as 'n wenk oor die beoogde gebruik en niks meer nie. Die besluit hoort by die funksies wat jy in die konfigurasie kan verifieer, eerder as by die woorde in die brosjure.

Vind die toestel wat werklik termineer

Volg 'n kliëntverbinding van buite na binne. Iets aanvaar die vervoer, iets verifieer die eweknie, iets ken die kliënt 'n adres toe, iets magtig 'n bestemming, en iets verskaf 'n terugroete. Dié vyf funksies kan op een toestel of op vyf woon, en die enigste nuttige vraag is watter toestel watter een doen. 'n Opstroom-roeteerder kan die buitenste pakkette dra sonder om hulle ooit te ontsyfer, en dit is presies die geval waar 'n topologie-diagram 'n hersieners mislei om die verkeerde boks te noem.

Bevestig terminering op die kandidaat selfeerder as uit die tekening. 'n Luisterende socket op die verwagte poort plus 'n gevestigde toestand-inskrywing is sterker bewyse as 'n netwerkdiagram, en die afwesigheid van albei is nog sterker.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Besluit op vyf eienskappe, nie op die produknaam nie

Vyf eienskappe skei die kandidate, en elkeen is beantwoordbaar uit dokumentasie eerder as uit bemarking. Watter VPN-rolle ondersteun hierdie weergawe, watter identiteitsbronne kan dit gebruik, watter aanstuurbereik laat dit toe, hoeveel kapasiteit hou dit vol, en hoe gedra dit hom onder faling. Vra daardie vyf skriftelik en die etiket word onbelangrik vir die besluit.

Kapasiteit is die eienskap wat die konsentrator-etiket die sterkste impliseer, en dit is die een wat die meeste vaag gelaat word. Gelyktydigheidslimiete, deurset per tonnel en totale deurset is drie verskillende getalle, en 'n toestel kan mild wees in die een en suinig in 'n ander. Hoë beskikbaarheid is 'n eienskap van die paar eerder as van enige boks, en dit hoort by die herstelvraag. 'n Etiket wat skaal suggereer, is nie 'n spesifikasie van skaal nie.

Herstel hoort in dieselfde gesprek. Vra hoe 'n administrateur die toestel bereik wanneer die tonnel self die stukkende komponent is, want 'n buiteband-pad is 'n ontwerpbesluit eerder as 'n bykomstigheid.

Kyk na die bewyse voor die etiket

'n Aktuele diens moet geëvalueer word op ondersteunde rolle, identiteitsbeleid, aanstuurbereik, kapasiteit en herstelgedrag, met antwoorde spesifiek vir die weergawe wat jy sou ontplooi. 'n Historiese oorsig kan verduidelik waarom die woord konsentrator bestaan, maar dit kan jou nie sê wat 'n huidige weergawe ondersteun nie. DieCisco VPN-oorsigis juis daarom nuttige terminologie-konteks, en om dit as 'n huidige funksielys te behandel, is hoe 'n ontwerphersiening verkeerd loop.

Verifieer dan een bewering end-tot-end. Kies die eienskap wat die meeste saak maak, soos deurset per tonnel of oorskakelingstyd, en vra vir die meetmetode eerder as vir die getal. 'n Vinnige plaaslike kontrole van wat die toestel werklik blootstel, is 'n redelike begin.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Op Linux tel die eerste reël sekuriteitsassosiasies, en 'n tonnel het gewoonlik twee daarvan, een per rigting, so halveer die telling voordat jy dit met 'n tonnelbewering vergelyk. Op 'n strongSwan-gasheer noem die tweede reël die tonnele direk. 'n Socket-telling is nie 'n plaasvervanger nie: IPsec NAT-T hou 'n enkele UDP 4500-socket wat deur elke tonnel gedeel word, so om sokkette op daardie poort te tel, gee nul of een, maak nie saak hoeveel tonnele daar is nie. Nie een reël is 'n deursetmeting nie, en nie een voorspel gedrag onder las nie. Wat hulle jou gee, is die eenheid om oor te vra, en 'n verskaffer wat die metode kan beskryf, het 'n spesifikasie waar een wat dit nie kan nie, 'n brosjure het.

Skryf die pad neer en die etikette hou op om saak te maak

Beskryf die argitektuur as 'n lys funksies met eienaars: terminering, verifikasie, adrestoewysing, magtiging, terugroetering, joernaalvoering en herstel. Daardie beskrywing oorleef 'n produkhernoeming, 'n verskafferwisseling en 'n verkryging, en nie een daarvan sal jou diagram bywerk nie.

Hersien dit elke kwartaal teen 'n werklike kliëntsessie, want 'n funksie kan skuif sonder dat iemand die tekening wysig. Die etikette sal aanhou verander, en die lys van eienaars sal aanhou die ding wees wat die netwerk werklik verduidelik.