لماذا لا يُعدّ SSL VPN وVPN من موقع إلى موقع نقيضين
يصف SSL VPN وVPN من موقع إلى موقع محورين مختلفين: من ينضم إلى الشبكة وكيف يُبنى النفق. تسمية الاثنين معًا ترتكب خطأ الفئة.
اطلب من مسؤولين اثنين وصف الشبكة الخاصة الافتراضية نفسها، فقد يجيب أحدهما «SSL VPN» بينما يقول الآخر «من موقع إلى موقع»، وكأن الاثنين خياران متنافسان في قائمة. إنهما إجابتان عن سؤالين مختلفين، ومعاملتهما كبديلين تنتج مقارنات لا يمكن حسمها. أحد المصطلحين يحدد أي الأطراف يجري ضمّها؛ والآخر يحدد ما الذي يحمل حركة المرور بينها. أبقِ المحورين منفصلين وسيختفي معظم الجدل.
مصطلحان، سؤالان منفصلان
تجيب الطوبولوجيا عن سؤال من ينضم إلى ماذا. يصمّم الوصول عن بُعد ليربط مستخدمين أو أجهزة فردية ببوابة، عادةً بهوية لكل مستخدم ومجموعة عناوين. أما تصميم الموقع إلى الموقع فيربط شبكتين عبر بوابتين، فتصبح الهوية المهمة هي هوية البوابة النظيرة لا الشخص الجالس أمام لوحة المفاتيح. هذه مشكلات تشغيلية مختلفة، من تخطيط العناوين إلى من يستطيع سحب الوصول في الساعة 2 صباحًا.
تجيب الآلية عن كيفية بناء النفق والتحقق من هويته. بروتوكول IPsec مع IKEv2، ومنتج قائم على TLS يحمل IP داخله، وبوابة تطبيقات موجهة للمتصفح، كلها خيارات آلية، ولكل منها تفاوضه وحزم تشفيره وأنماط فشله. لا شيء منها يفترض طوبولوجيا معينة، والطوبولوجيا لا تختار آلية.
ضع المحورين في جدول واحد وستصبح الحيرة ظاهرة، لأن كل خلية في الشبكة يمكن ملؤها. ما لا يستطيع الجدول فعله هو إخبارك بالتركيبة التي باعها مورّدك، لأن أسماء المنتجات تدمج المحورين في عبارة تسويقية واحدة.
من أين يأتي خطأ الفئة
باعت الشركات «SSL VPN» لسنوات على أنه نقيض «IPsec VPN»، فبدت مقارنة الآليات وكأنها اختيار طوبولوجيا. وقد تقادم المصطلح كثيرًا بشروطه الخاصة أيضًا، إذ تستخدم التصاميم الحالية إصدارات TLS مدعومة، ولم يبقَ اسم SSL إلا كفئة منتج.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
أسطورتان مرتبطتان تنبعان من الدمج نفسه. الأولى أن IPsec يعني من موقع إلى موقع؛ لكن IKEv2 صُمم أيضًا لعلاقات العميل بالبوابة، فيمكن لجهاز محمول فردي الانضمام عبر IPsec. والثانية أن أي منتج قائم على TLS يعني الوصول عن بُعد فقط؛ OpenVPN يُستخدم عادةً لنقل الحركة بين موقعين، وتركيز استخدامه لـTLS يقع في تبادل التحكم والمصادقة لا في جلسة متصفح.
اختبار مفيد لأي وصف: إذا غيّر تبديل كلمة واحدة كلاً من الأطراف والبروتوكول، فالجملة تخلط بين المحورين. عبارة «SSL VPN مقابل من موقع إلى موقع» تفشل في ذلك الاختبار، لأن المصطلح الأول يسمي عائلة آلية والثاني يسمي طوبولوجيا.
صِف عملية نشر بحيث يمكن مقارنتها
اكتب أربع خانات واملأها: الأطراف، والآلية، والمصادقة، وسطح الوصول. قد يُقرأ رابط فرع كزوج بوابات IKEv2 بين بادئتين مسمّاتين مع مصادقة بالشهادات وبلا بوابة على مستوى المستخدم. وقد تُقرأ خدمة الوصول عن بُعد كعميل قائم على TLS يخصص عناوين لكل مستخدم، ويطلب عاملًا ثانيًا عند تسجيل الدخول، ولا ينشر سوى منطقة DNS داخلية.
هذه الجمل قابلة للمقارنة بطريقة لا تتيحها أسماء المنتجات. يمكن قياس تصميمين للوصول عن بُعد مقابل سير عمل المستخدم نفسه ومسار سحب الصلاحية نفسه، وقياس تصميمين بين موقعين مقابل قائمة البادئات نفسها وسياسة الحركة ومتطلبات الفشل نفسها. المصطلحات تنظّم المقارنة؛ ولا تحل محلها.
للمصطلحات مرجع منشور أيضًا. فوثيقة مصطلحات الشبكات الخاصة الافتراضية الصادرة عن IETF تفصل عدة نماذج خدمة، من بينها الوصول عن بُعد والموقع إلى الموقع، عن الآليات المستخدمة لبنائها، وهو بالضبط التمييز الذي يظل يضيع.
اقرأ البروتوكول المتفاوض عليه، لا اسم المنتج
لا يثبت الملصق على الصندوق ما توافق عليه نفق يعمل. اسأل الطرف النظير مباشرةً، على جانب TLS، واقرأ إصدار البروتوكول والتشفير الذي أنتجته المصافحة بدلًا من الإصدار المذكور في الكتيب.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefأما بوابة IPsec فالملاحظة المكافئة تأتي من مخرجات الحالة الخاصة بالتنفيذ نفسه، وهي تبلغ عن مقترحات IKE وESP المستخدمة. وفي الحالتين المعنى واحد: يجب قراءة محور الآلية من الجلسة الحية، لأن العميل والبوابة قد يتفاوضان نزولًا إلى ما هو أقدم مما توقعه أي من المسؤولين.
ipsec statusall | grep -E "IKE|ESP"بعد ذلك، تبقى الأسئلة التي لا يجيب عنها أي ملصق. أي إصدارات بروتوكول لا تزال مقبولة، وكيف تُتحقق هوية البوابة، وأي مجموعة خوارزميات مسموح بها، ومن يصرّح لمستخدم معين بمورد معين، وما الذي يسحب الوصول عند فقدان جهاز. مخطط الطوبولوجيا واسم الآلية هما بداية تلك القائمة، لا بديل عنها.
أبقِ المصطلحين إذن، لكن استخدمهما لما هما عليه: طريقة قصيرة لقول أي الأطراف يجري ضمّها وكيف يُبنى النفق. وفي اللحظة التي يُستخدم فيها أحدهما لنفي الآخر، يكون الوصف قد توقف عن وصف أي شيء.