Per què SSL VPN i VPN de lloc a lloc no són oposats
SSL VPN i VPN de lloc a lloc descriuen eixos diferents: qui s'uneix a la xarxa i com es construeix el túnel. Anomenar tots dos alhora és un error de categoria.
Demaneu a dos administradors que descriguin la mateixa VPN i un pot respondre «SSL VPN» mentre l'altre diu «de lloc a lloc», com si les dues fossin opcions rivals d'un menú. Són respostes a preguntes diferents, i tractar-les com a alternatives produeix comparacions que no es poden resoldre. Una etiqueta diu quins extrems s'uneixen; l'altra diu què transporta el trànsit entre ells. Mantingueu els eixos separats i la major part de la discussió desapareix.
Dues etiquetes, dues preguntes separades
La topologia respon qui s'uneix a què. Un disseny d'accés remot connecta usuaris o dispositius individuals a una passarel·la, normalment amb identitat per usuari i un conjunt d'adreces. Un disseny de lloc a lloc uneix dues xarxes mitjançant passarel·les, de manera que la identitat interessant és la passarel·la parella i no la persona davant del teclat. Són problemes operatius diferents, des de la planificació d'adreces fins a qui pot revocar l'accés a les 2 de la matinada.
El mecanisme respon com es construeix i s'autentica el túnel. IPsec amb IKEv2, un producte basat en TLS que transporta IP a dins seu, i un portal d'aplicacions orientat al navegador són eleccions de mecanisme, i cadascuna té la seva negociació, els seus conjunts de xifratge i les seves formes de fallada. Cap d'elles implica una topologia, i una topologia no tria un mecanisme.
Poseu els dos eixos en una taula i la confusió es fa visible, perquè cada cel·la de la graella es pot omplir. El que la graella no pot fer és dir-vos quina combinació ha enviat el vostre proveïdor, ja que els noms de producte col·lapsen els dos eixos en una sola frase de màrqueting.
D'on ve l'error de categoria
Els proveïdors van vendre «SSL VPN» durant anys com a oposat d'«IPsec VPN», cosa que feia que una comparació de mecanismes semblés una tria de topologia. La frase també ha envellit malament pels seus propis termes, ja que els dissenys actuals utilitzen versions de TLS admeses i el nom SSL sobreviu sobretot com a categoria de producte.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Dos mites relacionats es deriven del mateix col·lapse. El primer és que IPsec significa de lloc a lloc; IKEv2 es va dissenyar també per a relacions de client a passarel·la, de manera que un ordinador portàtil individual pot unir-s'hi amb IPsec. El segon és que un producte basat en TLS significa només accés remot; OpenVPN s'utilitza habitualment per transportar trànsit entre dos llocs, i el seu ús de TLS es concentra en l'intercanvi de control i autenticació més que en una sessió de navegador.
Una prova útil per a qualsevol descripció: si canviar una paraula canvia alhora els extrems i el protocol, la frase barreja els eixos. «SSL VPN enfront de lloc a lloc» falla aquesta prova, perquè el primer terme anomena una família de mecanismes i el segon una topologia.
Descriu un desplegament perquè es pugui comparar
Escriviu quatre caselles i ompliu-les: extrems, mecanisme, autenticació i superfície d'accés. Un enllaç de sucursal es podria llegir com una parella de passarel·les IKEv2 entre dos prefixos anomenats amb autenticació per certificat i sense portal a nivell d'usuari. Un servei d'accés remot es podria llegir com un client basat en TLS que assigna adreces per usuari, requereix un segon factor en iniciar sessió i publica només una zona DNS interna.
Aquestes frases són comparables d'una manera que els noms de producte no ho són. Dos dissenys d'accés remot es poden mesurar contra el mateix flux de treball d'usuari i la mateixa ruta de revocació, i dos dissenys entre llocs contra la mateixa llista de prefixos, la mateixa política de trànsit i els mateixos requisits de fallada. Les etiquetes organitzen la comparació; no la substitueixen.
La terminologia també té un ancoratge publicat. El document de terminologia VPN de l'IETF separa diversos models de servei, inclosos l'accés remot i el de lloc a lloc, dels mecanismes amb què es construeixen, que és exactament la distinció que no para de perdre's.
Llegeix el protocol negociat, no el nom del producte
L'etiqueta de la caixa no estableix a què ha accedit un túnel en funcionament. Pregunteu-ho directament a la parella, pel costat TLS, i llegiu la versió de protocol i el xifratge que ha produït l'encaminament en lloc de la versió del fullet.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefPer a una passarel·la IPsec l'observació equivalent ve de la sortida d'estat de la mateixa implementació, que informa de les propostes IKE i ESP en ús. En qualsevol cas, el punt és el mateix: l'eix del mecanisme s'ha de llegir de la sessió viva, perquè un client i una passarel·la poden negociar a la baixa fins a alguna cosa més antiga del que cap administrador esperava.
ipsec statusall | grep -E "IKE|ESP"Després d'això, les preguntes que queden són les que cap etiqueta respon. Quines versions de protocol encara s'accepten, com es valida la identitat de la passarel·la, quin conjunt d'algorismes es permet, qui autoritza un usuari determinat per a un recurs determinat i què revoca l'accés quan es perd un dispositiu. Un diagrama de topologia i un nom de mecanisme són el començament d'aquesta llista, no un substitut.
Manteniu, doncs, les dues etiquetes, però useu-les pel que són: una manera curta de dir quins extrems s'uneixen i com es construeix el túnel. En el moment que una s'utilitza per descartar l'altra, la descripció ha deixat de descriure res.