Защо SSL VPN и VPN между сайтове не са противоположности
SSL VPN и VPN между сайтове описват различни оси: кой се присъединява към мрежата и как се изгражда тунелът. Назоваването на двете заедно е категорийна грешка.
Попитайте двама администратори да опишат една и съща VPN и единият може да отговори „SSL VPN“, а другият — „между сайтове“, сякаш двете са конкуриращи се опции в меню. Това са отговори на различни въпроси и третирането им като алтернативи поражда сравнения, които не могат да бъдат решени. Единият етикет казва кои крайни точки се свързват; другият казва какво носи трафика между тях. Дръжте осите разделени и по-голямата част от спора изчезва.
Два етикета, два отделни въпроса
Топологията отговаря кой към какво се присъединява. Проектът за отдалечен достъп свързва отделни потребители или устройства към шлюз, обикновено с идентичност за всеки потребител и набор от адреси. Проектът между сайтове свързва две мрежи през шлюзове, така че интересната идентичност е партньорският шлюз, а не човекът пред клавиатурата. Това са различни оперативни проблеми — от планирането на адреси до това кой може да отнеме достъп в 2 часа през нощта.
Механизмът отговаря как се изгражда и удостоверява тунелът. IPsec с IKEv2, продукт, базиран на TLS, който носи IP вътре в себе си, и обърнат към браузъра портал за приложения са избори на механизъм и всеки има свои преговори, шифрови комплекти и режими на отказ. Никой от тях не предполага топология и топологията не избира механизъм.
Сложете двете оси в една таблица и объркването става видимо, защото всяка клетка от мрежата може да бъде запълнена. Това, което таблицата не може да направи, е да ви каже каква комбинация е доставил вашият доставчик, тъй като имената на продуктите свиват двете оси в една маркетингова фраза.
Откъде идва категорийната грешка
Доставчиците продаваха „SSL VPN“ години наред като противоположност на „IPsec VPN“, което правеше сравнението на механизми да изглежда като избор на топология. Фразата е остаряла и по собствените си условия, защото днешните проекти използват поддържани версии на TLS и името SSL оцелява главно като продуктова категория.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Два свързани мита следват от същото свиване. Първият е, че IPsec означава „между сайтове“; IKEv2 е проектиран и за връзки клиент–шлюз, така че отделен лаптоп може да се присъедини чрез IPsec. Вторият е, че продукт, базиран на TLS, означава само отдалечен достъп; OpenVPN редовно се използва за пренос на трафик между два сайта и използването му на TLS е съсредоточено в обмена на управление и удостоверяване, а не в сесия на браузър.
Полезен тест за всяко описание: ако смяната на една дума променя и крайните точки, и протокола, изречението смесва осите. „SSL VPN срещу между сайтове“ не издържа този тест, защото първият термин назовава семейство механизми, а вторият — топология.
Опишете внедряване така, че да може да се сравни
Напишете четири полета и ги попълнете: крайни точки, механизъм, удостоверяване и повърхност за достъп. Връзката с клон може да се чете като двойка шлюзове IKEv2 между два именувани префикса с удостоверяване чрез сертификат и без портал на потребителско ниво. Услугата за отдалечен достъп може да се чете като клиент, базиран на TLS, който задава адреси на всеки потребител, изисква втори фактор при вход и публикува само вътрешна DNS зона.
Тези изречения са сравними по начин, по който имената на продукти не са. Два проекта за отдалечен достъп могат да се измерват спрямо един и същ потребителски работен процес и същия път за отнемане, а два проекта между сайтове — спрямо същия списък с префикси, политика за трафика и изисквания при отказ. Етикетите организират сравнението; те не го заместват.
Терминологията има и публикувана опора. Документът на IETF за VPN терминология отделя няколко модела на услуга, включително отдалечен достъп и между сайтове, от механизмите, с които се изграждат, а това е точно разграничението, което непрекъснато се губи.
Четете договорения протокол, а не името на продукта
Етикетът върху кутията не установява за какво се е споразумял работещ тунел. Попитайте партньора директно, от страната на TLS, и прочетете версията на протокола и шифъра, които ръкостискането е произвело, вместо версията от брошурата.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefЗа IPsec шлюз еквивалентното наблюдение идва от собствения изход на състоянието на реализацията, който отчита използваните предложения IKE и ESP. Както и да е, смисълът е същият: ос механизъм трябва да се чете от живата сесия, защото клиент и шлюз могат да се споразумеят за нещо по-старо, отколкото е очаквал всеки от двамата администратори.
ipsec statusall | grep -E "IKE|ESP"След това остават въпросите, на които никой етикет не отговаря. Кои версии на протокола все още се приемат, как се валидира идентичността на шлюза, кой набор алгоритми е разрешен, кой оторизира даден потребител за даден ресурс и какво отнема достъпа, когато устройство се загуби. Диаграма на топологията и име на механизъм са началото на този списък, а не негов заместител.
Запазете двата етикета, но ги използвайте за това, което са: кратък начин да се каже кои крайни точки се свързват и как се изгражда тунелът. В момента, в който единият се използва, за да изключи другия, описанието е престанало да описва каквото и да е.