Koncentrator ili gateway? Gdje se u vašoj putanji nalazi VPN terminator

Dva dobavljača mogu isti uređaj nazvati koncentratorom i gatewayem, a nijedna od tih riječi vam neće reći gdje se saobraćaj dešifruje. Oznake opisuju role pri implementaciji, a ne protokole, i role se preklapaju u svim smjerovima. Za pregled dizajna važni su uređaj koji terminira tunel, kontrole oko njega i putanja koju dešifrovani zahtjev prelazi. Odlučite na osnovu ta tri, i imenica u tehničkom listu prestaje biti argument.

Dvije oznake, jedna odluka

Koncentrator obično označava centralni sistem koji prima i upravlja mnogim vezama istovremeno, a riječ nosi nagovještaj razmjera. Gateway je širi pojam za krajnju tačku koja spaja tunel sa mrežama iza sebe, i može opisivati ruter, firewall ili upravljanu uslugu. Nijedna riječ ne imenuje protokol niti obećava određeni skup funkcija. Isti uređaj mogu dva dobavljača prodavati pod oba imena, i zato se rasprava o terminologiji nikada ne razrješava.

Tretirajte oznaku kao nagovještaj namjeravane upotrebe i ništa više. Odluka pripada funkcijama koje možete provjeriti u konfiguraciji, a ne riječima u brošuri.

Pronađite uređaj koji zaista terminira

Pratite klijentsku vezu spolja prema unutra. Nešto prihvata transport, nešto autentificira partnera, nešto dodjeljuje klijentu adresu, nešto odobrava odredište, a nešto obezbjeđuje povratnu rutu. Tih pet funkcija može živjeti na jednom uređaju ili na pet, a jedino korisno pitanje je koji uređaj šta radi. Ruter uzvodno može prenositi vanjske pakete bez ikakvog dešifrovanja, i to je upravo slučaj u kojem topološka shema navede recenzenta da imenuje pogrešan uređaj.

Potvrdite terminaciju na samom kandidatua ne iz crteža. Socket koji sluša na očekivanom portu uz uspostavljen zapis stanja jači je dokaz od mrežne sheme, a odsustvo obojega je još jače.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Odlučite po pet svojstava, a ne po imenu proizvoda

Pet svojstava razdvaja kandidate, i na svako se može odgovoriti iz dokumentacije, a ne iz marketinga. Koje VPN role podržava ovo izdanje, koje izvore identiteta može koristiti, koji obim prosljeđivanja dopušta, koliki kapacitet izdržava i kako se ponaša pri otkazu. Zatražite tih pet u pisanoj formi i oznaka postaje nevažna za odluku.

Kapacitet je svojstvo koje oznaka koncentrator najjače implicira, i ono najčešće ostaje neodređeno. Ograničenja istovremenosti, propusnost po tunelu i ukupna propusnost tri su različita broja, a uređaj može biti darežljiv u jednom i škrt u drugom. Visoka dostupnost je svojstvo para, a ne bilo kojeg uređaja, i pripada pitanju oporavka. Oznaka koja nagovještava razmjer nije specifikacija razmjera.

Oporavak pripada istom razgovoru. Pitajte kako administrator dolazi do uređaja kada je sam tunel pokvarena komponenta, jer je vanpojasna putanja projektna odluka, a ne dodatak.

Provjerite dokaze prije oznake

Aktuelnu uslugu treba ocjenjivati po podržanim rolama, politici identiteta, obimu prosljeđivanja, kapacitetu i ponašanju pri oporavku, s odgovorima specifičnim za verziju koju biste implementirali. Historijski pregled može objasniti zašto riječ koncentrator postoji, ali ne može reći šta podržava aktuelno izdanje.Pregled Cisco VPN-aje upravo zbog toga koristan terminološki kontekst, a tretirati ga kao aktuelni spisak funkcija jeste način na koji pregled dizajna odlazi na pogrešnu stranu.

Zatim provjerite jednu tvrdnju od početka do kraja. Odaberite svojstvo koje najviše znači, poput propusnosti po tunelu ili vremena prebacivanja, i tražite metodu mjerenja, a ne broj. Brza lokalna provjera onoga što uređaj zaista izlaže razuman je početak.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Na Linuxu prva linija broji sigurnosne asocijacije, a tunel ih obično ima dvije, po jednu za svaki smjer, pa prepolovite broj prije nego što ga uporedite s tvrdnjom o tunelu. Na hostu sa strongSwanom druga linija direktno imenuje tunelove. Broj socketa nije zamjena: IPsec NAT-T drži jedan zajednički socket UDP 4500 za sve tunelove, pa brojanje socketa na tom portu daje nulu ili jedan, koliko god tunelova postojalo. Nijedna linija nije mjerenje propusnosti i nijedna ne predviđa ponašanje pod opterećenjem. One vam daju jedinicu o kojoj treba pitati, a dobavljač koji može opisati metodu ima specifikaciju tamo gdje onaj koji ne može ima brošuru.

Zapišite putanju i oznake prestaju biti važne

Opišite arhitekturu kao spisak funkcija s vlasnicima: terminacija, autentifikacija, dodjela adresa, autorizacija, povratno rutiranje, evidentiranje i oporavak. Taj opis preživljava preimenovanje proizvoda, promjenu dobavljača i akviziciju, a nijedno od toga neće ažurirati vašu shemu.

Pregledajte ga prema stvarnoj klijentskoj sesiji jednom kvartalno, jer se funkcija može premjestiti bez toga da iko uredi crtež. Oznake će se nastaviti mijenjati, a spisak vlasnika će nastaviti biti ono što mrežu zaista objašnjava.