Com triar passarel·les VPN entre seus que funcionen conjuntament

Dues passarel·les de proveïdors diferents formaran un túnel si les seves implementacions coincideixen en els paràmetres que es negocien. Les marques idèntiques no són un requisit, i les marques coincidents tampoc no són una garantia. La qüestió de la compatibilitat tracta de funcions i versions; la qüestió de la capacitat tracta de la feina que el dispositiu ha de fer en programari. Tracteu-les com dues comprovacions, exactament en aquest ordre.

Recorreu la llista i atureu-vos al primer punt que no tingui resposta.

Comença per les funcions del protocol, no per la marca

Per al protocol que penseu executar, enumereu el que necessita el disseny: el mètode d’autenticació, les propostes de xifratge i integritat acordades, la interfície o la construcció de trànsit protegit, el mode d’encaminament i si alguna banda és darrere de NAT. Cadascuna és una funció que la implementació ha de suportar, no una casella en una pàgina de producte.

Els requisits de passarel·la de client d’AWS són una plantilla útil encara que no us connecteu a AWS, perquè formulen el contracte com un conjunt d’obligacions de protocol i d’encaminament. Un fitxer de mostra del proveïdor per a un model concret és una prova decent que algú ha provat aquesta combinació. Una etiqueta genèrica que afirma compatibilitat amb IPsec no demostra ni la versió ni el model de política. Llegiu les notes de la versió en lloc del resum de màrqueting.

Comproveu la versió, no l’etiqueta de la fitxa tècnica

La interoperabilitat d’IKEv2 es decideix pels paràmetres negociats, així que la pregunta és quines propostes ofereix i accepta el microprogramari actual. Un dispositiu que suporta el protocol en general encara pot rebutjar la combinació concreta que exigeix l’altre extrem. Confirmeu la cadena de versió i la llista de propostes a les dues bandes.

Una nota que una funció va arribar en una sèrie de microprogramari posterior és prou habitual per merèixer el seu propi punt de la llista de comprovació.

Tracteu la capacitat com una qüestió a part

El xifratge costa feina, i quanta en depèn de la implementació tant com de l’algorisme. Alguns camins d’acceleració només s’apliquen a algorismes concrets o a camins de reenviament concrets, així que un dispositiu pot ser ràpid en una configuració i lent en una altra. El rendiment habitual d’una WAN no és el rendiment d’un túnel xifrat. Dimensioneu el dispositiu segons el trànsit que realment protegireu.

La mida del paquet també importa, perquè l’encapsulament i qualsevol sobrecost addicional redueixen la càrrega útil que porta cada paquet.

Decidiu la política d’encaminament explícitament

De lloc a lloc no vol dir que només el trànsit seleccionat pugui usar el túnel, ni vol dir que tot hi hagi de passar. Un disseny pot portar prefixos privats concrets o encaminar una ruta per defecte a través de la passarel·la. Trieu-ne una i escriviu-la, perquè les dues bandes han d’acordar què s’anuncia i què s’accepta. Un desajustament aquí produeix un túnel que està aixecat i una xarxa que és mig abastable.

Els dissenys amb encaminament dinàmic hi afegeixen un altre requisit: suport del protocol d’encaminament a les dues bandes.

Què cal comparar abans de comprar

Compareu la cadència d’actualitzacions, les proves d’interoperabilitat, la recuperació de la configuració i el comportament de commutació per error previst al costat de la velocitat punta de transferència. Pregunteu què passa quan el dispositiu es reinicia amb una configuració obsoleta. Pregunteu si el proveïdor publica una llista d’interoperabilitat per a l’igual exacte que penseu utilitzar. Pregunteu qui és responsable del canvi quan una actualització del microprogramari altera una proposta per defecte.

Una garantia de maquinari no és resposta a cap d’aquestes preguntes.

Després proveu la parella abans de comprometre-us amb una flota. Un túnel, les propostes reals, el mode d’encaminament real i una transferència que s’assembli a la càrrega de treball us diran més que qualsevol taula d’especificacions.