Niyə SSL VPN və saytlararası VPN bir-birinin əksi deyil
SSL VPN və saytlararası VPN fərqli oxları təsvir edir: şəbəkəyə kim qoşulur və tunel necə qurulur. İkisini birlikdə adlandırmaq kateqoriya səhvidir.
İki administratora eyni VPN-i təsvir etməyi tapşırın: biri «SSL VPN» deyə bilər, digəri isə «saytlararası» deyər, sanki ikisi menyudakı rəqib seçimlərdir. Onlar fərqli suallara cavabdır və onlara alternativ kimi yanaşmaq həll oluna bilməyən müqayisələr doğurur. Bir etiket hansı son nöqtələrin birləşdirildiyini, digəri isə aralarında trafiki nəyin daşıdığını bildirir. Oxları ayrı saxlayın və mübahisənin çoxu yox olar.
İki etiket, iki ayrı sual
Topologiya kimin nəyə qoşulduğunu cavablandırır. Uzaqdan giriş dizaynı ayrı-ayrı istifadəçiləri və ya cihazları şlüza bağlayır, adətən hər istifadəçi üçün kimlik və ünvanlar hovuzu ilə. Saytlararası dizayn isə iki şəbəkəni şlüzlər vasitəsilə birləşdirir, ona görə maraqlı kimlik klaviatura arxasındakı şəxs deyil, həmkar şlüzdür. Bunlar ünvan planlamasından gecə saat 2-də girişi kimin ləğv edə bilməsinə qədər fərqli əməliyyat problemləridir.
Mexanizm tunelin necə qurulduğunu və doğrulandığını cavablandırır. IKEv2 ilə IPsec, IP-ni öz içində daşıyan TLS əsaslı məhsul və brauzerə baxan tətbiq portalı mexanizm seçimləridir və hər birinin öz danışığı, şifr dəstləri və uğursuzluq rejimləri var. Heç biri topologiya nəzərdə tutmur, topologiya isə mexanizm seçmir.
İki oxu bir cədvəldə yerləşdirin və qarışıqlıq görünən olur, çünki torun hər hücrəsi doldurula bilər. Cədvəlin edə bilmədiyi şey, satıcınızın hansı kombinasiyanı göndərdiyini söyləməkdir, çünki məhsul adları hər iki oxu bir marketinq ifadəsində birləşdirir.
Kateqoriya səhvi haradan gəlir
Satıcılar illərlə «SSL VPN»-i «IPsec VPN»-in əksi kimi satdılar və bununla mexanizm müqayisəsini topologiya seçimi kimi göstərdilər. Bu ifadə öz şərtləri ilə də köhnəldi, çünki hazırkı dizaynlar dəstəklənən TLS versiyalarından istifadə edir və SSL adı əsasən məhsul kateqoriyası kimi qalır.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Eyni birləşmədən iki əlaqəli mif yaranır. Birincisi, IPsec-in saytlararası olmasıdır; IKEv2 də müştəri-şlüz münasibətləri üçün layihələndirilib, ona görə ayrı bir noutbuk IPsec ilə qoşula bilər. İkincisi, TLS əsaslı məhsulun yalnız uzaqdan giriş olmasıdır; OpenVPN iki sayt arasında trafiki daşımaq üçün müntəzəm istifadə olunur və onun TLS istifadəsi brauzer sessiyasında deyil, əsasən nəzarət və doğrulama mübadiləsində cəmlənir.
Hər təsvir üçün faydalı bir test: bir sözü dəyişmək həm son nöqtələri, həm də protokolu dəyişirsə, cümlə oxları qarışdırır. «SSL VPN saytlararası ilə qarşılaşdırılır» bu testdən keçmir, çünki birinci termin mexanizm ailəsini, ikincisi isə topologiyanı adlandırır.
Yerləşdirməni müqayisə oluna biləcək şəkildə təsvir edin
Dörd xana yazın və doldurun: son nöqtələr, mexanizm, doğrulama və giriş səthi. Filial bağlantısı iki adlandırılmış prefiks arasında sertifikat doğrulamalı və istifadəçi səviyyəli portalsız IKEv2 şlüz cütü kimi oxuna bilər. Uzaqdan giriş xidməti isə hər istifadəçiyə ünvan təyin edən, girişdə ikinci amil tələb edən və yalnız daxili DNS zonasını yayımlayan TLS əsaslı müştəri kimi oxuna bilər.
Bu cümlələr məhsul adlarının olmadığı şəkildə müqayisə olunandır. İki uzaqdan giriş dizaynı eyni istifadəçi iş axınına və eyni ləğv yoluna görə, iki saytlararası dizayn isə eyni prefiks siyahısına, trafik siyasətinə və uğursuzluq tələblərinə görə ölçülə bilər. Etiketlər müqayisəni təşkil edir; onu əvəz etmir.
Terminologiyanın dərc olunmuş dayaq nöqtəsi də var. IETF-in VPN terminologiyası sənədi uzaqdan giriş və saytlararası daxil olmaqla bir neçə xidmət modelini onların qurulmasında istifadə olunan mexanizmlərdən ayırır və bu, davamlı itirilən fərqin tam özüdür.
Danışılmış protokolu oxuyun, məhsul adını deyil
Qutudakı etiket işləyən tunelin nəyə razılaşdığını müəyyən etmir. Həmkar tərəfdən birbaşa, TLS tərəfində soruşun və broşürdəki versiya yerinə əl sıxışmanın yaratdığı protokol versiyasını və şifrini oxuyun.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec şlüzü üçün ekvivalent müşahidə tətbiqin öz status çıxışından gəlir, hansı ki istifadədə olan IKE və ESP təkliflərini bildirir. Hər halda məna eynidir: mexanizm oxu canlı sessiyadan oxunmalıdır, çünki müştəri və şlüz hər iki administratorun gözlədiyindən daha köhnə bir şeyə qədər razılaşa bilər.
ipsec statusall | grep -E "IKE|ESP"Bundan sonra qalan suallar heç bir etiketin cavablandırmadığı suallardır. Hansı protokol versiyaları hələ qəbul olunur, şlüzün kimliyi necə təsdiqlənir, hansı alqoritm dəsti icazəlidir, verilmiş istifadəçini verilmiş resursa kim səlahiyyətləndirir və cihaz itdikdə girişi nə ləğv edir. Topologiya diaqramı və mexanizm adı bu siyahının başlanğıcıdır, onun əvəzi deyil.
Elə isə iki etiketi saxlayın, lakin onları olduqları şey üçün istifadə edin: hansı son nöqtələrin birləşdirildiyini və tunelin necə qurulduğunu qısa yolla demək. Biri digərini istisna etmək üçün istifadə olunduğu anda təsvir heç nəyi təsvir etməyi dayandırır.