Jak vybrat VPN brány mezi lokalitami, které spolu spolupracují

Dvě brány od různých dodavatelů vytvoří tunel, pokud se jejich implementace shodnou na parametrech, které se vyjednávají. Shodné značky nejsou požadavek a shodné značky nejsou ani záruka. Otázka kompatibility se týká funkcí a verzí; otázka kapacity se týká práce, kterou zařízení musí udělat v softwaru. Berte je jako dvě kontroly, přesně v tomto pořadí.

Projděte seznam a zastavte se u prvního bodu, který nemá odpověď.

Začněte funkcemi protokolu, ne značkou

U protokolu, který hodláte provozovat, sepište, co návrh potřebuje: způsob autentizace, dohodnuté návrhy šifrování a integrity, rozhraní nebo konstrukci chráněného provozu, režim směrování a to, zda některá strana stojí za NAT. Každý z nich je funkce, kterou implementace musí podporovat, ne zaškrtávací políčko na stránce produktu.

Požadavky AWS na zákaznickou bránu jsou užitečnou šablonou, i když se k AWS nepřipojujete, protože smlouvu vyjadřují jako soubor povinností v oblasti protokolu a směrování. Ukázkový soubor dodavatele pro konkrétní model je slušný důkaz, že někdo tuto kombinaci otestoval. Všeobecný štítek tvrdící podporu IPsec neprokazuje ani verzi, ani model politiky. Čtěte poznámky k vydání, ne marketingové shrnutí.

Prověřte vydání, ne štítek na datovém listu

Interoperabilita IKEv2 se rozhoduje vyjednanými parametry, takže otázkou je, které návrhy současný firmware nabízí a přijímá. Zařízení, které protokol podporuje obecně, může přesto odmítnout konkrétní kombinaci, na níž trvá protistrana. Potvrďte řetězec verze a seznam návrhů na obou stranách.

Poznámka, že funkce dorazila v pozdější vlně firmwaru, je natolik běžná, že si zaslouží vlastní bod kontrolního seznamu.

Berte kapacitu jako samostatnou otázku

Šifrování stojí práci a kolik přesně závisí na implementaci stejně jako na algoritmu. Některé akcelerační cesty platí jen pro určité algoritmy nebo určité cesty předávání, takže zařízení může být v jedné konfiguraci rychlé a v jiné pomalé. Běžná propustnost WAN není propustnost šifrovaného tunelu. Dimenzujte zařízení podle provozu, který skutečně budete chránit.

Záleží i na velikosti paketu, protože zapouzdření a jakákoli další režie snižují užitečný obsah, který každý paket nese.

Rozhodněte o směrovací politice výslovně

Spojení mezi lokalitami neznamená, že tunel smí využívat jen vybraný provoz, a neznamená, že jím musí projít vše. Návrh může nést konkrétní privátní prefixy nebo směrovat výchozí trasu přes bránu. Zvolte jednu a zapište ji, protože obě strany se musí shodnout na tom, co se inzeruje a co se přijímá. Neshoda zde vytvoří tunel, který je nahoře, a síť, která je napůl dosažitelná.

Dynamicky směrované návrhy přidávají další požadavek: podpora směrovacího protokolu na obou stranách.

Co srovnat, než nakoupíte

Srovnejte četnost aktualizací, důkazy interoperability, obnovu konfigurace a zamýšlené chování při selhání vedle špičkové přenosové rychlosti. Ptejte se, co se stane, když se zařízení restartuje se zastaralou konfigurací. Ptejte se, zda dodavatel zveřejňuje seznam interoperability pro přesný protějšek, který plánujete použít. Ptejte se, kdo odpovídá za změnu, když aktualizace firmwaru změní výchozí návrh.

Hardwarová záruka není odpovědí na žádnou z nich.

Potom otestujte dvojici, než se zavážete k flotile. Jeden tunel, skutečné návrhy, skutečný režim směrování a přenos podobný zátěži vám řeknou víc než kterákoli tabulka specifikací.