Как да изберем VPN шлюзове между сайтове, които си взаимодействат

Два шлюза от различни доставчици ще образуват тунел, ако реализациите им съвпадат по параметрите, които се договарят. Еднаквите марки не са изискване, а съвпадащите марки също не са гаранция. Въпросът за съвместимостта е за функциите и версиите; въпросът за капацитета е за работата, която устройството трябва да свърши в софтуера. Разглеждайте ги като две проверки, точно в този ред.

Минете списъка по ред и спрете на първия пункт, който няма отговор.

Започнете с функциите на протокола, не с марката

За протокола, който смятате да използвате, изброете какво изисква проектът: метод за удостоверяване, договорени предложения за шифроване и цялост, интерфейса или конструкцията за защитен трафик, режима на маршрутизация и дали някоя страна е зад NAT. Всяко от тях е функция, която реализацията трябва да поддържа, а не отметка на продуктова страница.

Изискванията на AWS към клиентския шлюз са полезен шаблон дори когато не се свързвате с AWS, защото те описват договора като набор от задължения по протокол и маршрутизация. Примерният файл на доставчик за конкретен модел е прилично доказателство, че някой е тествал тази комбинация. Общият етикет с твърдение за поддръжка на IPsec не доказва нито версията, нито модела на политика. Четете бележките към изданието, а не маркетинговото резюме.

Проверете изданието, не етикета на спецификацията

Съвместимостта на IKEv2 се решава от договорените параметри, така че въпросът е кои предложения предлага и приема текущият фърмуер. Устройство, което поддържа протокола по принцип, все пак може да откаже конкретната комбинация, на която настоява другата страна. Потвърдете версията и списъка с предложения от двете страни.

Бележка, че дадена функция е дошла в по-късна серия фърмуер, е достатъчно често срещана, за да заслужи собствен пункт в списъка за проверка.

Разглеждайте капацитета като отделен въпрос

Шифроването струва работа и колко точно зависи от реализацията не по-малко, отколкото от алгоритъма. Някои пътища за ускорение важат само за определени алгоритми или определени пътища за препращане, затова едно устройство може да е бързо в една конфигурация и бавно в друга. Обикновената пропускна способност на WAN не е пропускна способност на шифрован тунел. Съобразете устройството с трафика, който наистина ще защитавате.

Размерът на пакета също е важен, защото инкапсулацията и всякакви допълнителни разходи намаляват полезния товар, който носи всеки пакет.

Определете политиката за маршрутизация изрично

Връзката между сайтове не означава, че само избран трафик може да използва тунела, и не означава, че всичко трябва да минава през него. Един проект може да носи конкретни частни префикси или да насочва маршрут по подразбиране през шлюза. Изберете едно и го запишете, защото двете страни трябва да се съгласят какво се анонсира и какво се приема. Несъответствие тук дава тунел, който е вдигнат, и мрежа, която е наполовина достижима.

Динамично маршрутизираните проекти добавят още едно изискване: поддръжка на протокол за маршрутизация от двете страни.

Какво да сравните преди покупка

Сравнете честотата на актуализациите, доказателствата за съвместимост, възстановяването на конфигурацията и предвиденото поведение при отказ заедно с пиковата скорост на трансфер. Питайте какво се случва, когато устройството се рестартира със остаряла конфигурация. Питайте дали доставчикът публикува списък за съвместимост за точния партньор, който планирате да използвате. Питайте кой отговаря за промяната, когато актуализация на фърмуера промени предложение по подразбиране.

Хардуерната гаранция не е отговор на нито един от тези въпроси.

След това тествайте двойката, преди да се ангажирате с цяла флота. Един тунел, реалните предложения, реалният режим на маршрутизация и пренос, подобен на работното натоварване, ще ви кажат повече от всяка таблица със спецификации.