Concentrador o passarel·la? On és el terminador de VPN al teu camí

Dos proveïdors poden anomenar el mateix equip concentrador i passarel·la, i cap de les dues paraules no et dirà on es desxifra el trànsit. Les etiquetes descriuen rols de desplegament, no protocols, i els rols es solapen en totes direccions. El que importa en una revisió de disseny és el dispositiu que acaba el túnel, els controls que l'envolten i el camí que segueix una petició desxifrada. Decideix a partir d'aquests tres elements i el substantiu del full de dades deixa de ser un argument.

Dues etiquetes, una decisió

Un concentrador sol significar el sistema central que rep i gestiona moltes connexions alhora, i la paraula porta una implicació d'escala. Una passarel·la és el terme més ampli per a un extrem que uneix un túnel amb les xarxes que hi ha al darrere, i pot descriure un encaminador, un tallafoc o un servei gestionat. Cap de les dues paraules no nomena un protocol ni promet un conjunt de funcions concret. El mateix aparell pot vendre's amb tots dos noms per part de dos proveïdors, i per això la discussió sobre la terminologia no s'acaba mai.

Tracta l'etiqueta com un indici de l'ús previst i res més. La decisió pertany a les funcions que pots verificar a la configuració, no a les paraules del fullet.

Troba el dispositiu que realment acaba el túnel

Segueix una connexió de client de fora cap a dins. Alguna cosa accepta el transport, alguna cosa autentica el parell, alguna cosa assigna una adreça al client, alguna cosa autoritza una destinació i alguna cosa proporciona una ruta de tornada. Aquestes cinc funcions poden viure en un sol dispositiu o en cinc, i l'única pregunta útil és quin dispositiu fa quina. Un encaminador anterior pot portar els paquets exteriors sense desxifrar-los mai, i aquest és exactament el cas en què un diagrama de topologia porta el revisor a nomenar l'equip equivocat.

Confirma l'acabament al mateix candidati no pas a partir del dibuix. Un sòcol d'escolta al port esperat més una entrada d'estat establerta són una prova més sòlida que un diagrama de xarxa, i l'absència de tots dos encara ho és més.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Decideix per cinc propietats, no pel nom del producte

Cinc propietats separen els candidats, i cadascuna es pot respondre a partir de la documentació i no del màrqueting. Quins rols de VPN admet aquesta versió, quines fonts d'identitat pot fer servir, quin abast de reenviament permet, quina capacitat sosté i com es comporta davant d'una fallada. Demana aquestes cinc per escrit i l'etiqueta esdevé irrellevant per a la decisió.

La capacitat és la propietat que l'etiqueta de concentrador implica més fortament, i és la que més sovint es deixa vaga. Els límits de concurrència, el cabal per túnel i el cabal total són tres xifres diferents, i un dispositiu pot ser generós en una i escàs en una altra. L'alta disponibilitat és una propietat de la parella i no de cap dels dos equips, i pertany a la pregunta de recuperació. Una etiqueta que suggereix escala no és una especificació d'escala.

La recuperació forma part de la mateixa conversa. Pregunta com arriba l'administrador al dispositiu quan el túnel mateix és el component espatllat, perquè un camí fora de banda és una decisió de disseny i no un accessori.

Revisa les proves abans de l'etiqueta

Un servei actual s'ha d'avaluar per les funcions admeses, la política d'identitat, l'abast de reenviament, la capacitat i el comportament de recuperació, amb respostes específiques per a la versió que desplegaries. Una visió general històrica pot explicar per què existeix la paraula concentrador, però no et pot dir què admet una versió actual.Visió general de Cisco VPNés un context terminològic útil precisament per això, i tractar-la com una llista de funcions actual és com una revisió de disseny acaba malament.

Després verifica una afirmació de cap a cap. Tria la propietat que més importa, com ara el cabal per túnel o el temps de commutació, i demana el mètode de mesura en lloc de la xifra. Una comprovació local ràpida del que el dispositiu exposa realment és un començament raonable.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

A Linux la primera línia compta les associacions de seguretat, i un túnel normalment en té dues, una per direcció, així que divideix el recompte per dos abans de comparar-lo amb una afirmació sobre túnels. En un host amb strongSwan la segona línia anomena els túnels directament. El recompte de sòcols no és un substitut: IPsec NAT-T manté un sol sòcol UDP 4500 compartit per tots els túnels, així que comptar sòcols en aquest port dona zero o un, tants túnels com hi hagi. Cap de les dues línies no és una mesura de cabal ni prediu el comportament sota càrrega. El que et donen és la unitat per la qual has de preguntar, i un proveïdor que sap descriure el mètode té una especificació on un que no sap té un fullet.

Escriu el camí i les etiquetes deixen d'importar

Descriu l'arquitectura com una llista de funcions amb responsables: acabament, autenticació, assignació d'adreces, autorització, encaminament de tornada, registre i recuperació. Aquesta descripció sobreviu a un canvi de nom de producte, a un canvi de proveïdor i a una adquisició, i cap d'aquests actualitzarà el teu diagrama.

Revisa-la contra una sessió de client real un cop per trimestre, perquè una funció es pot moure sense que ningú editi el dibuix. Les etiquetes continuaran canviant, i la llista de responsables continuarà sent el que realment explica la xarxa.