Hoe om site-tot-site-VPN-gateways te kies wat met mekaar kan saamwerk

Twee terrein-gateways van verskillende verskaffers sal ’n tonnel vorm as hulle implementerings saamstem oor die parameters wat beding word. Identiese handelsmerke is nie ’n vereiste nie, en ooreenstemmende handelsmerke is ook nie ’n waarborg nie. Die versoenbaarheidsvraag gaan oor kenmerke en weergawes; die kapasiteitsvraag gaan oor werk wat die toestel in sagteware moet doen. Behandel dit as twee kontroles, in daardie volgorde.

Werk die lys af en stop by die eerste item waarvoor daar geen antwoord is nie.

Begin by die protokolkenmerke, nie by die handelsmerk nie

Vir die protokol wat jy van plan is om te gebruik, lys wat die ontwerp nodig het: die verifikasiemetode, ooreengekome enkripsie- en integriteitsvoorstelle, die koppelvlak of die konstruksie vir beskermde verkeer, die roeteringsmodus, en of enige kant agter NAT sit. Elkeen is ’n kenmerk wat die implementering moet ondersteun, nie ’n blokkie op ’n produkblad nie.

AWS se vereistes vir klant-gateways is ’n nuttige sjabloon selfs as jy nie aan AWS koppel nie, want hulle stel die kontrak as ’n stel protokol- en roeteringsverpligtinge. ’n Verskaffer-voorbeeldlêer vir ’n spesifieke model is redelike bewys dat iemand daardie kombinasie getoets het. ’n Algemene etiket wat IPsec-ondersteuning beweer, bewys nóg die weergawe nóg die beleidsmodel. Lees die vrystellingsnotas eerder as die bemarkingopsomming.

Kontroleer die weergawe, nie die etiket op die datablad nie

IKEv2-verwerking word deur bedinge parameters bepaal, so die vraag is watter voorstelle die huidige firmware bied en aanvaar. ’n Toestel wat die protokol in die algemeen ondersteun, kan steeds die spesifieke kombinasie weier waarop jou ander kant aandring. Bevestig die weergawe-string en die voorstellys aan albei kante.

’n Nota dat ’n kenmerk in ’n later firmware-trein aangekom het, is algemeen genoeg om sy eie kontrolelysitem te verdien.

Behandel kapasiteit as ’n aparte vraag

Enkripsie kos werk, en hoeveel hang van die implementering net soveel af as van die algoritme. Sommige versnellingpaaie geld net vir sekere algoritmes of sekere stuurpaaie, so ’n toestel kan in een opstelling vinnig en in ’n ander stadig wees. Gewone WAN-deurset is nie geënkripteerde tonneldurset nie. Meet die toestel op die verkeer wat jy werklik gaan beskerm.

Pakketgrootte maak ook saak, want inkapseling en enige bykomende oorhoofse koste verminder die vrag wat elke pakket dra.

Bepaal die roeteringbeleid eksplisiet

Terrein-tot-terrein beteken nie dat net geselekteerde verkeer die tonnel mag gebruik nie, en dit beteken nie dat alles moet nie. ’n Ontwerp kan spesifieke private voorvoegsels dra, of ’n standaardroete deur die gateway stuur. Kies een en skryf dit neer, want albei kante moet saamstem oor wat geadverteer en wat aanvaar word. ’n Wanverhouding hier lewer ’n tonnel wat op is en ’n netwerk wat half bereikbaar is.

Dinamies geroeterde ontwerpe voeg nog ’n vereiste by: ondersteuning vir roeteringsprotokolle aan albei kante.

Wat om te vergelyk voordat jy koop

Vergelyk opdateringstempo, interoperabiliteitsbewyse, konfigurasieherstel en beoogde oorskakelgedrag saam met die piekoordragtempo. Vra wat gebeur wanneer die toestel herbegin met ’n verouderde konfigurasie. Vra of die verskaffer ’n interoperabiliteitslys publiseer vir die presiese eweknie wat jy beplan om te gebruik. Vra wie die verandering besit wanneer ’n firmware-opdatering ’n standaardvoorstel verander.

’n Hardeware-garantie is nie ’n antwoord op enige van daardie vrae nie.

Toets dan die paar voordat jy tot ’n vloot verbind. Een tonnel, die werklike voorstelle, die werklike roeteringsmodus en ’n oordrag wat die werklading benader, sal jou meer vertel as enige spesifikasietabel.