Konsentrator, yoxsa şlüz? VPN terminatörünü yolunuzda tapmaq

İki təchizatçı eyni qutuya həm konsentrator, həm də şlüz deyə bilər və bu sözlərin heç biri trafikin harada açıldığını sizə deməyəcək. Etiketlər protokolları deyil, yerləşdirmə rollarını təsvir edir və rollar hər istiqamətdə üst-üstə düşür. Dizayn baxışı üçün vacib olan tuneli sonlandıran cihaz, onun ətrafındakı nəzarətlər və açılmış sorğunun getdiyi yoldur. Bu üçündən qərar verin və məlumat vərəqindəki isim artıq mübahisə mövzusu olmaqdan çıxır.

İki etiket, bir qərar

Konsentrator adətən eyni anda çoxlu bağlantı qəbul edən və idarə edən mərkəzi sistemi bildirir və söz miqyas eyhamı daşıyır. Şlüz isə tuneli arxasındakı şəbəkələrə birləşdirən son nöqtənin daha geniş adıdır və marşrutlaşdırıcını, firewall-u və ya idarə olunan xidməti təsvir edə bilər. Heç bir söz protokol adlandırmır və heç biri müəyyən funksiya dəsti vəd etmir. Eyni cihaz iki təchizatçı tərəfindən hər iki adla satıla bilər, buna görə də terminologiya mübahisəsi heç vaxt həll olunmur.

Etiketə yalnız nəzərdə tutulan istifadəyə dair bir işarə kimi baxın, başqa heç nə kimi deyil. Qərar broşürdəki sözlərə deyil, konfiqurasiyada yoxlaya bildiyiniz funksiyalara aiddir.

Həqiqətən sonlandıran cihazı tapın

Müştəri bağlantısını xaricdən içəriyə izləyin. Nəsə nəqli qəbul edir, nəsə qarşı tərəfi autentifikasiya edir, nəsə müştəriyə ünvan verir, nəsə təyinatı səlahiyyətləndirir və nəsə geri marşrut təmin edir. Bu beş funksiya bir cihazda və ya beş cihazda yerləşə bilər və yeganə faydalı sual hansı cihazın hansını etdiyidir. Yuxarı axındakı marşrutlaşdırıcı xarici paketləri heç açmadan daşıya bilər və bu, topologiya diaqramının rəyçini yanlış qutunu adlandırmağa sövq etdiyi haldır.

Sonlandırmanı namizədin özündə təsdiqləyinrəsmdən deyil. Gözlənilən portda dinləyən soket və qurulmuş vəziyyət qeydi şəbəkə diaqramından güclü sübutdur, ikisinin də olmaması isə daha güclüdür.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Məhsul adı ilə deyil, beş xassə ilə qərar verin

Beş xassə namizədləri ayırır və hər birinə marketinqdən deyil, sənədləşmədən cavab vermək olar. Bu buraxılış hansı VPN rollarını dəstəkləyir, hansı kimlik mənbələrindən istifadə edə bilər, hansı yönləndirmə əhatəsinə icazə verir, hansı tutumu saxlayır və nasazlıq zamanı necə davranır. Bu beşini yazılı şəkildə istəyin və etiket qərar üçün əhəmiyyətsiz olur.

Tutum konsentrator etiketinin ən güclü eyham verdiyi xassədir və ən çox qeyri-müəyyən qalan da elə odur. Paralellik limitləri, tunel başına ötürmə qabiliyyəti və ümumi ötürmə qabiliyyəti üç fərqli kəmiyyətdir və cihaz birində səxavətli, digərində xəsis ola bilər. Yüksək əlçatanlıq hər iki qutudan deyil, cütdən asılı xassədir və bərpa sualına aiddir. Miqyas eyhamı verən etiket miqyasın spesifikasiyası deyil.

Bərpa eyni söhbətin içindədir. Tunelin özü sınmış komponent olduqda administratorun cihaza necə çatdığını soruşun, çünki zolaqdan kənar yol aksesuar deyil, dizayn qərarıdır.

Etiketdən əvvəl sübutu yoxlayın

Cari xidmət dəstəklənən rollar, kimlik siyasəti, yönləndirmə əhatəsi, tutum və bərpa davranışı üzrə qiymətləndirilməlidir və cavablar yerləşdirəcəyiniz versiyaya xas olmalıdır. Tarixi icmal konsentrator sözünün niyə mövcud olduğunu izah edə bilər, lakin cari buraxılışın nəyi dəstəklədiyini sizə deyə bilməz.Cisco VPN icmalıməhz bu səbəbdən faydalı terminologiya kontekstidir və ona cari funksiya siyahısı kimi yanaşmaq dizayn baxışının yanlış getmə yoludur.

Sonra bir iddianı başdan-başa yoxlayın. Ən vacib xassəni, məsələn tunel başına ötürmə qabiliyyətini və ya keçid vaxtını seçin və kəmiyyəti deyil, ölçmə metodunu soruşun. Cihazın həqiqətən nəyi açıqlamasına dair sürətli yerli yoxlama münasib başlanğıcdır.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux-da birinci sətir təhlükəsizlik assosiasiyalarını sayır və tunelin adətən ikisi olur, hər istiqamət üçün bir, buna görə sayı tunel iddiası ilə müqayisə etməzdən əvvəl yarıya bölün. strongSwan hostunda ikinci sətir tunelləri birbaşa adlandırır. Soket sayı bunu əvəz etmir: IPsec NAT-T hər tunelin paylaşdığı tək bir UDP 4500 soketini saxlayır, buna görə həmin portda soket saymaq neçə tunel olursa olsun sıfır və ya bir qaytarır. Nə birinci, nə ikinci sətir ötürmə qabiliyyəti ölçməsidir və heç biri yük altında davranışı proqnozlaşdırmır. Onlar sizə soruşacağınız vahidi verir və metodu təsvir edə bilən təchizatçının spesifikasiyası var, bacarmayanın isə broşürü.

Yolu yazın və etiketlər əhəmiyyətini itirsin

Arxitekturanı sahibləri ilə funksiyalar siyahısı kimi təsvir edin: sonlandırma, autentifikasiya, ünvan təyini, səlahiyyətləndirmə, geri marşrutlaşdırma, jurnallaşdırma və bərpa. Bu təsvir məhsulun adının dəyişməsinə, təchizatçı dəyişikliyinə və satınalmaya davam gətirir və onların heç biri diaqramınızı yeniləməyəcək.

Rübdə bir dəfə onu real müştəri sessiyası ilə müqayisə edin, çünki funksiya heç kim rəsmi redaktə etmədən yerini dəyişə bilər. Etiketlər dəyişməkdə davam edəcək və sahiblərin siyahısı şəbəkəni həqiqətən izah edən şey olaraq qalacaq.