Чаму SSL VPN і VPN паміж сайтамі не супрацьстаяць адно аднаму
SSL VPN і VPN паміж сайтамі апісваюць розныя восі: хто далучаецца да сеткі і як будуецца тунель. Называць абодва разам — гэта памылка катэгорыі.
Папрасіце двух адміністратараў апісаць адну і тую ж VPN, і адзін можа адказаць «SSL VPN», а другі — «паміж сайтамі», нібы гэта былі канкуруючыя варыянты ў меню. Гэта адказы на розныя пытанні, і ўспрыманне іх як альтэрнатыў спараджае параўнанні, якія немагчыма вырашыць. Адзін ярлык паказвае, якія канцавыя пункты злучаюцца; другі — што нясе трафік паміж імі. Трымайце восі асобна, і большая частка спрэчкі знікне.
Два ярлыкі, два асобныя пытанні
Тапалогія адказвае, хто да каго далучаецца. Дызайн аддаленага доступу далучае асобных карыстальнікаў або прылады да шлюза, звычайна з ідэнтычнасцю на карыстальніка і пулам адрасоў. Дызайн паміж сайтамі злучае дзве сеткі праз шлюзы, таму цікавая ідэнтычнасць — гэта партнёрскі шлюз, а не чалавек за клавіятурай. Гэта розныя аперацыйныя праблемы: ад планавання адрасоў да таго, хто можа адклікаць доступ у 2 гадзіны ночы.
Механізм адказвае, як будуецца і аўтэнтыфікуецца тунель. IPsec з IKEv2, прадукт на аснове TLS, які нясе IP унутры сябе, і звернуты да браўзера партал прыкладанняў — гэта выбары механізму, і кожны мае свае перамовы, наборы шыфраў і рэжымы адмоваў. Ні адзін з іх не прадугледжвае тапалогію, а тапалогія не выбірае механізм.
Змясціце дзве восі ў адну табліцу, і блытаніна стане бачнай, бо кожную клетку сеткі можна запоўніць. Чаго табліца не можа зрабіць — сказаць вам, якую камбінацыю паставіў ваш пастаўшчык, бо назвы прадуктаў згортваюць абедзве восі ў адну маркетынгавую фразу.
Адкуль бярэцца памылка катэгорыі
Прадаўцы гадамі прадавалі «SSL VPN» як процілегласць «IPsec VPN», што рабіла параўнанне механізмаў падобным да выбару тапалогіі. Сама фраза састарэла і па сваіх умовах, бо сучасныя дызайны выкарыстоўваюць падтрыманыя версіі TLS, а назва SSL застаецца галоўным чынам як катэгорыя прадукту.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
З таго ж згортвання вынікаюць два звязаныя міфы. Першы — што IPsec азначае «паміж сайтамі»; IKEv2 быў распрацаваны і для адносін кліент–шлюз, таму асобны ноўтбук можа далучацца праз IPsec. Другі — што прадукт на аснове TLS азначае толькі аддалены доступ; OpenVPN рэгулярна выкарыстоўваецца для пераносу трафіку паміж двума сайтамі, і яго выкарыстанне TLS засяроджана ў абмене кіравання і аўтэнтыфікацыі, а не ў сесіі браўзера.
Карысны тэст для любога апісання: калі замена аднаго слова змяняе і канцавыя пункты, і пратакол, сказ змешвае восі. «SSL VPN супраць «паміж сайтамі» не праходзіць гэты тэст, бо першы тэрмін называе сямейства механізмаў, а другі — тапалогію.
Апішыце разгортванне так, каб яго можна было параўнаць
Напішыце чатыры палі і запоўніце іх: канцавыя пункты, механізм, аўтэнтыфікацыя і паверхня доступу. Філіяльнае злучэнне можа чытацца як пара шлюзаў IKEv2 паміж двума названымі прэфіксамі з аўтэнтыфікацыяй па сертыфікатах і без партала ўзроўню карыстальніка. Паслуга аддаленага доступу можа чытацца як кліент на аснове TLS, які прызначае адрасы кожнаму карыстальніку, патрабуе другі фактар пры ўваходзе і публікуе толькі ўнутраную зону DNS.
Гэтыя сказы параўнальныя так, як назвы прадуктаў — не. Два дызайны аддаленага доступу можна вымераць супраць аднолькавага працоўнага працэсу карыстальніка і аднолькавага шляху адклікання, а два міжсайтавыя дызайны — супраць аднолькавага спісу прэфіксаў, палітыкі трафіку і патрабаванняў да адмоваў. Ярлыкі арганізуюць параўнанне; яны не замяняюць яго.
Тэрміналогія мае і апублікаваную апору. Дакумент IETF па тэрміналогіі VPN аддзяляе некалькі мадэляў паслуг, уключаючы аддалены доступ і «паміж сайтамі», ад механізмаў, якімі яны будуюцца, і гэта менавіта тое адрозненне, якое пастаянна губляецца.
Чытайце ўзгоднены пратакол, а не назву прадукту
Ярлык на скрынцы не ўстанаўлівае, на што пагадзіўся працуючы тунель. Спытайцеся ў партнёра напрамую, на баку TLS, і прачытайце версію пратаколу і шыфр, якія выдала рукапоціск, а не версію з брашуры.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefДля шлюза IPsec эквівалентнае назіранне паходзіць з уласнага вываду статусу рэалізацыі, які паведамляе пра выкарыстоўваныя прапановы IKE і ESP. У любым выпадку сутнасць адна: вось механізму трэба чытаць з жывой сесіі, бо кліент і шлюз могуць дамовіцца да чагосьці старэйшага, чым чакаў любы з адміністратараў.
ipsec statusall | grep -E "IKE|ESP"Пасля гэтага застаюцца пытанні, на якія ніякі ярлык не адказвае. Якія версіі пратаколу яшчэ прымаюцца, як правяраецца ідэнтычнасць шлюза, які набор алгарытмаў дазволены, хто аўтарызуе дадзенага карыстальніка для дадзенага рэсурсу і што адклікае доступ, калі прылада страчана. Схема тапалогіі і назва механізму — гэта пачатак гэтага спісу, а не яго замена.
Такім чынам, пакіньце два ярлыкі, але выкарыстоўвайце іх па прызначэнні: кароткі спосаб сказаць, якія канцавыя пункты злучаны і як будуецца тунель. У той момант, калі адзін з іх выкарыстоўваецца, каб выключыць другі, апісанне перастае нешта апісваць.