Zašto SSL VPN i VPN od lokacije do lokacije nisu suprotnosti
SSL VPN i VPN od lokacije do lokacije opisuju različite ose: ko se pridružuje mreži i kako se tunel gradi. Nazvati oboje zajedno znači počiniti grešku kategorije.
Zamolite dva administratora da opišu isti VPN i jedan može odgovoriti „SSL VPN“, a drugi „od lokacije do lokacije“, kao da su to suprotstavljene opcije u meniju. To su odgovori na različita pitanja, a tretiranje ih kao alternativa stvara poređenja koja se ne mogu razriješiti. Jedna oznaka kaže koje se krajnje tačke spajaju; druga kaže šta nosi saobraćaj između njih. Držite ose odvojeno i većina rasprave nestaje.
Dvije oznake, dva odvojena pitanja
Topologija odgovara ko se čemu pridružuje. Dizajn daljinskog pristupa priključuje pojedinačne korisnike ili uređaje na pristupnik, obično s identitetom po korisniku i skupom adresa. Dizajn od lokacije do lokacije spaja dvije mreže kroz pristupnike, pa je zanimljiv identitet pristupnik partner, a ne osoba za tastaturom. To su različiti operativni problemi, od planiranja adresa do toga ko može opozvati pristup u 2 sata ujutro.
Mehanizam odgovara kako se tunel gradi i autentificira. IPsec s IKEv2, TLS-bazirani proizvod koji nosi IP unutar sebe i portalu za aplikacije okrenut pregledniku izbori su mehanizma, a svaki ima vlastito pregovaranje, skupove šifri i načine neuspjeha. Nijedan od njih ne podrazumijeva topologiju, a topologija ne bira mehanizam.
Stavite dvije ose u jednu tabelu i zbrka postaje vidljiva, jer se svaka ćelija mreže može popuniti. Ono što tabela ne može je reći vam koju je kombinaciju isporučio vaš dobavljač, jer imena proizvoda sažimaju obje ose u jednu marketinšku frazu.
Odakle dolazi greška kategorije
Dobavljači su godinama prodavali „SSL VPN“ kao suprotnost „IPsec VPN“-u, zbog čega je poređenje mehanizama izgledalo kao izbor topologije. Fraza je loše ostarjela i po vlastitim uslovima, jer današnji dizajni koriste podržane verzije TLS-a, a ime SSL opstaje uglavnom kao kategorija proizvoda.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Iz istog sažimanja slijede dva povezana mita. Prvi je da IPsec znači od lokacije do lokacije; IKEv2 je projektovan i za odnose klijent–pristupnik, pa se pojedinačni laptop može pridružiti putem IPsec-a. Drugi je da TLS-bazirani proizvod znači samo daljinski pristup; OpenVPN se rutinski koristi za prenošenje saobraćaja između dvije lokacije, a njegova upotreba TLS-a koncentrisana je na razmjenu kontrole i autentifikacije, a ne na sesiju preglednika.
Koristan test za svaki opis: ako zamjena jedne riječi mijenja i krajnje tačke i protokol, rečenica miješa ose. „SSL VPN nasuprot od lokacije do lokacije“ pada na tom testu, jer prvi termin imenuje porodicu mehanizama, a drugi topologiju.
Opišite postavljanje tako da se može uporediti
Napišite četiri polja i popunite ih: krajnje tačke, mehanizam, autentifikacija i površina pristupa. Veza s ogrankom može se čitati kao par pristupnika IKEv2 između dva imenovana prefiksa s autentifikacijom certifikatom i bez portala na korisničkom nivou. Usluga daljinskog pristupa može se čitati kao TLS-bazirani klijent koji dodjeljuje adrese po korisniku, zahtijeva drugi faktor pri prijavi i objavljuje samo internu DNS zonu.
Te rečenice su uporedive na način na koji imena proizvoda nisu. Dva dizajna daljinskog pristupa mogu se mjeriti prema istom korisničkom toku rada i istoj putanji opoziva, a dva međulokacijska dizajna prema istoj listi prefiksa, politici saobraćaja i zahtjevima za neuspjeh. Oznake organizuju poređenje; one ga ne zamjenjuju.
Terminologija ima i objavljen oslonac. IETF-ov dokument o VPN terminologiji odvaja nekoliko modela usluga, uključujući daljinski pristup i od lokacije do lokacije, od mehanizama kojima se grade, a to je upravo razlika koja se stalno gubi.
Čitajte pregovarani protokol, a ne ime proizvoda
Oznaka na kutiji ne utvrđuje na šta je pokrenuti tunel pristao. Pitajte partnera direktno, na TLS strani, i pročitajte verziju protokola i šifru koju je proizveo rukovanje, umjesto verzije iz brošure.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefZa IPsec pristupnik ekvivalentno opažanje dolazi iz vlastitog statusnog izlaza implementacije, koji izvještava o korištenim prijedlozima IKE i ESP. U svakom slučaju poenta je ista: os mehanizma mora se čitati iz žive sesije, jer klijent i pristupnik mogu pregovarati do nečega starijeg nego što je ijedan administrator očekivao.
ipsec statusall | grep -E "IKE|ESP"Nakon toga ostaju pitanja na koja nijedna oznaka ne odgovara. Koje verzije protokola se još prihvataju, kako se validira identitet pristupnika, koji je skup algoritama dozvoljen, ko autorizuje datog korisnika za dati resurs i šta opoziva pristup kada se uređaj izgubi. Dijagram topologije i ime mehanizma početak su te liste, a ne njena zamjena.
Zadržite dvije oznake, ali ih koristite za ono što jesu: kratak način da se kaže koje se krajnje tačke spajaju i kako se tunel gradi. U trenutku kada se jedna upotrijebi da isključi drugu, opis je prestao da opisuje bilo šta.