Канцэнтратар ці шлюз? Дзе ў вашым шляху знаходзіцца тэрмінатар VPN

Два пастаўшчыкі могуць называць адзін і той жа кампутар канцэнтратарам і шлюзам, і ні адно з гэтых слоў не скажа, дзе расшыфроўваецца трафік. Меркі апісваюць ролі разгортвання, а не пратаколы, і ролі перакрываюцца ва ўсіх кірунках. Для разгляду праекта важныя прылада, якая завяршае тунель, кантроль вакол яе і шлях, які праходзіць расшыфраваны запыт. Вырашайце зыходзячы з гэтых трох, і назоў у спецыфікацыі перастане быць прадметам спрэчкі.

Дзве меркі, адно рашэнне

Канцэнтратар звычайна азначае цэнтральную сістэму, якая адначасова прымае і кіруе мноствам злучэнняў, і гэтае слова нясе намёк на маштаб. Шлюз — больш шырокі тэрмін для канчатковай кропкі, якая далучае тунель да сетак за ёй, і ён можа апісваць маршрутызатар, міжсеткавы экран або кіраваны сэрвіс. Ні адно слова не называе пратакол, і ні адно не абяцае пэўны набор функцый. Адна і тая ж прылада можа прадавацца пад абодвума назвамі двума пастаўшчыкамі, і менавіта таму спрэчка пра тэрміналогію ніколі не вырашаецца.

Стаўцеся да меркі як да намёку на меркаванае выкарыстанне і не больш. Рашэнне належыць функцыям, якія вы можаце праверыць у канфігурацыі, а не словам у брашуры.

Знайдзіце прыладу, якая сапраўды завяршае тунель

Прасочыце злучэнне кліента звонку ўнутр. Нешта прымае транспарт, нешта аўтэнтыфікуе партнёра, нешта прызначае кліенту адрас, нешта аўтарызуе прызначэнне, і нешта падае зваротны маршрут. Гэтыя пяць функцый могуць жыць на адной прыладзе або на пяці, і адзінае карыснае пытанне — якая прылада робіць што. Маршрутызатар вышэй па шляху можа несці знешнія пакеты, ніколі іх не расшыфроўваючы, і гэта менавіта той выпадак, калі тапалагічная схема ўводзіць рэцэнзента ў зман і ён называе не тую прыладу.

Пацвердзіце завяршэнне на самім кандыдацеа не з чарцяжа. Слухаючы сокет на чаканым порце разам з запісам усталяванага стану — мацнейшы доказ, чым сеткавая схема, а адсутнасць абодвух яшчэ мацнейшая.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Вырашайце па пяці ўласцівасцях, а не па назве прадукту

Пяць уласцівасцей адрозніваюць кандыдатаў, і на кожную можна адказаць з дакументацыі, а не з маркетынгу. Якія ролі VPN падтрымлівае гэты выпуск, якія крыніцы ідэнтычнасці ён можа выкарыстоўваць, які абсяг перасылкі дазваляе, якую ёмістасць трымае і як сябе паводзіць пры збоі. Запытайце гэтыя пяць у пісьмовай форме, і мерка перастане мець значэнне для рашэння.

Ёмістасць — гэта ўласцівасць, на якую мерка канцэнтратара намякае наймацней, і яна ж часцей за ўсё застаецца неакрэсленай. Абмежаванні адначасовасці, прапускная здольнасць на тунель і агульная прапускная здольнасць — тры розныя лікі, і прылада можа быць шчодрай у адным і скупой у другім. Высокая даступнасць — уласцівасць пары, а не любой з дзвюх прылад, і яна належыць да пытання аднаўлення. Мерка, якая намякае на маштаб, не з'яўляецца спецыфікацыяй маштабу.

Аднаўленне належыць да той жа размовы. Спытайце, як адміністратар дабіраецца да прылады, калі сам тунель — зламаны кампанент, бо пазапалосны шлях — гэта праектнае рашэнне, а не дадатак.

Праверце доказы раней за мерку

Сучасную паслугу варта ацэньваць па падтрымліваных ролях, палітыцы ідэнтычнасці, абсягу перасылкі, ёмістасці і паводзінах пры аднаўленні, прычым адказы павінны быць спецыфічнымі для версіі, якую вы разгорнеце. Гістарычны агляд можа патлумачыць, чаму існуе слова канцэнтратар, але ён не можа сказаць, што падтрымлівае сучасны выпуск.Агляд Cisco VPNменавіта таму з'яўляецца карысным тэрміналагічным кантэкстам, і ставіцца да яго як да бягучага спісу функцый — гэта шлях да правалу разгляду праекта.

Затым праверце адну заяву ад пачатку да канца. Выберыце ўласцівасць, якая мае найбольшае значэнне, напрыклад прапускную здольнасць на тунель або час пераключэння, і запытайце метад вымярэння, а не лік. Хуткая лакальная праверка таго, што прылада фактычна паказвае, — разумны пачатак.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

У Linux першы радок лічыць асацыяцыі бяспекі, і ў тунеля звычайна іх дзве, па адной на кірунак, таму падзяліце лік на два, перш чым параўноўваць яго з заявай пра тунель. На хаспе strongSwan другі радок называе тунелі напрамую. Лік сокетаў не замена: IPsec NAT-T трымае адзін супольны сокет UDP 4500 для ўсіх тунеляў, таму падлік сокетаў на гэтым порце дае нуль або адзін, колькі б тунеляў ні было. Ні адзін радок не з'яўляецца вымярэннем прапускной здольнасці, і ні адзін не прадказвае паводзіны пад нагрузкай. Яны даюць вам адзінку, пра якую трэба пытацца, а пастаўшчык, які можа апісаць метад, мае спецыфікацыю там, дзе той, хто не можа, мае брашуру.

Запішыце шлях — і меркі перастануць мець значэнне

Апішыце архітэктуру як спіс функцый з уладальнікамі: завяршэнне, аўтэнтыфікацыя, прызначэнне адрасоў, аўтарызацыя, зваротная маршрутызацыя, журналяванне і аднаўленне. Гэтае апісанне перажыве перайменаванне прадукту, змену пастаўшчыка і набыццё, і нішто з гэтага не абновіць вашу схему.

Пераглядайце яго супраць рэальнай сесіі кліента раз у квартал, бо функцыя можа перамясціцца без таго, каб хтосьці рэдагаваў чарцёж. Меркі будуць працягваць змяняцца, а спіс уладальнікаў будзе працягваць быць тым, што сапраўды тлумачыць сетку.