Концентратор или шлюз? Къде по пътя ви стои терминаторът на VPN

Двама доставчици могат да нарекат една и съща кутия концентратор и шлюз и нито една от двете думи няма да ви каже къде се дешифрира трафикът. Етикетите описват роли при внедряване, а не протоколи, и ролите се припокриват във всички посоки. За преглед на архитектурата значение има устройството, което терминира тунела, контролите около него и пътят, който поема дешифрираната заявка. Решете по тези три неща и съществителното в спецификацията престава да бъде аргумент.

Два етикета, едно решение

Концентратор обикновено означава централната система, която приема и управлява много връзки наведнъж, и думата носи намек за мащаб. Шлюз е по-широкият термин за крайна точка, която свързва тунел със мрежите зад него, и може да описва маршрутизатор, защитна стена или управлявана услуга. Нито една от думите не назовава протокол и нито една не обещава определен набор от функции. Едно и също устройство може да се продава под двете имена от двама доставчици и точно затова спорът за терминологията никога не се решава.

Отнасяйте се към етикета като към подсказка за предназначението и нищо повече. Решението принадлежи на функциите, които можете да проверите в конфигурацията, а не на думите в брошурата.

Намерете устройството, което действително терминира

Проследете клиентската връзка отвън навътре. Нещо приема транспорта, нещо удостоверява партньора, нещо дава адрес на клиента, нещо оторизира дестинация и нещо осигурява обратен маршрут. Тези пет функции могат да живеят на едно устройство или на пет, а единственият полезен въпрос е кое устройство кое прави. Маршрутизатор по-нагоре може да пренася външните пакети, без изобщо да ги дешифрира, и точно в този случай топологичната схема подвежда рецензента да назове грешната кутия.

Потвърдете терминирането върху самия кандидата не от чертежа. Слушащ сокет на очаквания порт плюс установен запис за състояние е по-силно доказателство от мрежова схема, а липсата и на двете е още по-силна.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Решете по пет свойства, не по името на продукта

Пет свойства разделят кандидатите и на всяко може да се отговори от документацията, а не от маркетинга. Кои роли на VPN поддържа тази версия, какви източници на идентичност може да ползва, какъв обхват на препращане позволява, какъв капацитет издържа и как се държи при отказ. Поискайте тези пет писмено и етикетът става без значение за решението.

Капацитетът е свойството, което етикетът концентратор внушава най-силно, и то най-често остава неясно. Ограниченията за едновременност, пропускателната способност на тунел и общата пропускателна способност са три различни числа и устройството може да е щедро в едното и скъперническо в другото. Високата наличност е свойство на двойката, а не на която и да е от кутиите, и мястото и е във въпроса за възстановяване. Етикет, който подсказва мащаб, не е спецификация на мащаб.

Възстановяването е част от същия разговор. Питайте как администраторът достига до устройството, когато самият тунел е счупеният компонент, защото извънлентовият път е проектно решение, а не принадлежност.

Проверете доказателствата преди етикета

Текуща услуга трябва да се оценява по поддържани роли, политика за идентичност, обхват на препращане, капацитет и поведение при възстановяване, с отговори, специфични за версията, която бихте внедрили. Исторически преглед може да обясни защо съществува думата концентратор, но не може да ви каже какво поддържа текуща версия.Преглед на Cisco VPNе полезен терминологичен контекст точно по тази причина и да го третирате като актуален списък с функции е начинът, по който прегледът на архитектурата се обърква.

След това проверете едно твърдение от край до край. Изберете свойството с най-голямо значение, например пропускателната способност на тунел или времето за превключване, и поискайте метода на измерване, а не числото. Бърза локална проверка на това, което устройството действително показва, е разумно начало.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

В Linux първият ред брои асоциациите за сигурност, а един тунел обикновено има две от тях, по една за посока, затова разделете броя на две, преди да го сравните с твърдение за тунел. На хост със strongSwan вторият ред назовава тунелите директно. Броят на сокетите не е заместител: IPsec NAT-T поддържа един общ сокет UDP 4500 за всички тунели, така че броенето на сокети на този порт дава нула или едно, колкото и тунели да има. Нито един от редовете не е измерване на пропускателна способност и нито един не предсказва поведение под натоварване. Те ви дават единицата, за която да питате, а доставчик, който може да опише метода, има спецификация там, където този, който не може, има брошура.

Запишете пътя и етикетите спират да имат значение

Опишете архитектурата като списък от функции със собственици: терминиране, удостоверяване, назначаване на адреси, оторизация, обратно маршрутизиране, журналиране и възстановяване. Това описание преживява преименуване на продукт, смяна на доставчик и придобиване и никое от тях няма да обнови схемата ви.

Преглеждайте го срещу реална клиентска сесия веднъж на тримесечие, защото функция може да се премести, без някой да редактира чертежа. Етикетите ще продължат да се менят, а списъкът със собственици ще продължи да бъде това, което действително обяснява мрежата.