Koncentrátor, nebo brána? Kde na vaší cestě leží ukončení VPN

Dva dodavatelé mohou stejný stroj nazvat koncentrátorem i bránou a ani jedno z těch slov vám neřekne, kde se provoz dešifruje. Štítky popisují role při nasazení, nikoli protokoly, a role se překrývají ve všech směrech. Pro revizi návrhu je důležité zařízení, které tunel ukončuje, kontroly kolem něj a cesta, kterou dešifrovaný požadavek projde. Rozhodněte podle těchto tří věcí a podstatné jméno v datovém listu přestane být argumentem.

Dvě označení, jedno rozhodnutí

Koncentrátor obvykle znamená centrální systém, který přijímá a spravuje mnoho připojení najednou, a slovo nese náznak rozsahu. Brána je širší pojem pro koncový bod, který připojuje tunel k sítím za sebou, a může označovat router, firewall nebo spravovanou službu. Ani jedno slovo nepojmenovává protokol a ani jedno neslibuje určitou sadu funkcí. Stejné zařízení může prodávat dva dodavatelé pod oběma názvy, a proto se spor o terminologii nikdy nevyřeší.

Berte štítek jako nápovědu k zamýšlenému použití a nic víc. Rozhodnutí patří funkcím, které můžete ověřit v konfiguraci, ne slovům v brožuře.

Najděte zařízení, které skutečně ukončuje tunel

Sledujte klientské připojení zvenčí dovnitř. Něco přijímá transport, něco ověřuje protistranu, něco přiděluje klientovi adresu, něco autorizuje cíl a něco zajišťuje zpáteční trasu. Těchto pět funkcí může žít na jednom zařízení nebo na pěti a jediná užitečná otázka je, které zařízení dělá co. Router výše v cestě může přenášet vnější pakety, aniž by je kdy dešifroval, a to je přesně případ, kdy topologické schéma přivede recenzenta k tomu, aby pojmenoval špatný stroj.

Ověřte ukončení na samotném kandidátovia ne z výkresu. Naslouchající socket na očekávaném portu spolu se záznamem navázaného stavu je silnější důkaz než síťové schéma a nepřítomnost obojího je ještě silnější.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Rozhodujte podle pěti vlastností, ne podle názvu produktu

Pět vlastností odlišuje kandidáty a na každou lze odpovědět z dokumentace, nikoli z marketingu. Které role VPN tato verze podporuje, které zdroje identity může použít, jaký rozsah předávání dovoluje, jakou kapacitu udrží a jak se chová při selhání. Vyžádejte si těch pět písemně a štítek přestane být pro rozhodnutí relevantní.

Kapacita je vlastnost, kterou štítek koncentrátoru implikuje nejsilněji, a zůstává nejčastěji neurčitá. Limity souběžnosti, propustnost na tunel a celková propustnost jsou tři různá čísla a zařízení může být štědré v jednom a skoupé v jiném. Vysoká dostupnost je vlastnost dvojice, nikoli kteréhokoli ze strojů, a patří k otázce obnovy. Štítek naznačující rozsah není specifikací rozsahu.

Obnova patří do stejného rozhovoru. Ptejte se, jak se správce dostane k zařízení, když je vadnou součástí sám tunel, protože mimopásmová cesta je návrhové rozhodnutí, nikoli doplněk.

Prověřte důkazy dřív než štítek

Současná služba by měla být hodnocena podle podporovaných rolí, politiky identity, rozsahu předávání, kapacity a chování při obnově, s odpověďmi specifickými pro verzi, kterou byste nasadili. Historický přehled může vysvětlit, proč slovo koncentrátor existuje, ale nemůže říct, co podporuje současná verze.Přehled Cisco VPNje právě proto užitečný terminologický kontext, a brát ho jako aktuální seznam funkcí je způsob, jakým se revize návrhu pokazí.

Pak ověřte jedno tvrzení od začátku do konce. Vyberte vlastnost, na které nejvíc záleží, například propustnost na tunel nebo dobu přepnutí, a žádejte metodu měření, ne číslo. Rychlá místní kontrola toho, co zařízení skutečně vystavuje, je rozumný začátek.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

V Linuxu první řádek počítá bezpečnostní asociace a tunel jich obvykle má dvě, jednu pro každý směr, takže počet před porovnáním s tvrzením o tunelech vydělte dvěma. Na hostiteli se strongSwan druhý řádek pojmenovává tunely přímo. Počet socketů to nenahrazuje: IPsec NAT-T drží jeden společný socket UDP 4500 pro všechny tunely, takže počítání socketů na tomto portu vrátí nulu nebo jedničku, ať je tunelů kolik chce. Ani jeden řádek není měřením propustnosti a ani jeden nepředpovídá chování pod zátěží. Dávají vám jednotku, na kterou se ptát, a dodavatel, který umí popsat metodu, má specifikaci tam, kde ten, kdo to neumí, má brožuru.

Zapište cestu a štítky přestanou mít význam

Popište architekturu jako seznam funkcí s vlastníky: ukončení, autentizace, přidělování adres, autorizace, zpáteční směrování, protokolování a obnova. Tento popis přežije přejmenování produktu, změnu dodavatele i akvizici a nic z toho vaše schéma neaktualizuje.

Jednou za čtvrtletí ho porovnejte se skutečnou klientskou relací, protože funkce se může přesunout, aniž by kdokoli upravil výkres. Štítky se budou dál měnit a seznam vlastníků bude dál tím, co síť skutečně vysvětluje.