Pam nad yw SSL VPN a VPN safle-i-safle yn wrthwynebydd
Mae SSL VPN a VPN safle-i-safle yn disgrifio echelau gwahanol: pwy sy'n ymuno â'r rhwydwaith a sut y mae'r twnnel yn cael ei adeiladu. Enwi'r ddau gyda'i gilydd yw'r camgymeriad categori.
Gofynnwch i ddau weinyddwr ddisgrifio'r un VPN ac efallai y bydd un yn ateb “SSL VPN” tra bod y llall yn dweud “safle-i-safle”, fel pe bai'r ddau yn opsiynau cystadleuol mewn bwydlen. Atebion i gwestiynau gwahanol ydynt, ac mae eu trin fel dewisiadau amgen yn cynhyrchu cymariaethau na ellir eu datrys. Mae un label yn dweud pa bwyntiau terfyn sy'n cael eu huno; mae'r llall yn dweud beth sy'n cario'r traffig rhyngddynt. Cadwch yr echelau ar wahân a bydd rhan fwyaf y ddadl yn diflannu.
Dau label, dwy gwestiwn ar wahân
Mae topoleg yn ateb pwy sy'n ymuno â beth. Mae cynllun mynediad o bell yn cysylltu defnyddwyr neu ddyfeisiau unigol â phorth, fel arfer gyda hunaniaeth fesul defnyddiwr a chronfa o gyfeiriadau. Mae cynllun safle-i-safle yn uno dwy rwydwaith trwy byrth, felly'r hunaniaeth ddiddorol yw'r porth cymar yn hytrach na'r person wrth y bysellfwrdd. Mae'r rhain yn broblemau gweithredol gwahanol, o gynllunio cyfeiriadau i bwy all ddirymu mynediad am 2 y bore.
Mae mecanwaith yn ateb sut y mae'r twnnel yn cael ei adeiladu a'i ddilysu. Mae IPsec gyda IKEv2, cynnyrch sy'n seiliedig ar TLS sy'n cario IP y tu mewn iddo, a phorth cymwysiadau sy'n wynebu porwr yn ddewisiadau mecanwaith, ac mae gan bob un ei drafodaeth, ei setiau seiffr a'i foddau methu ei hun. Nid oes yr un ohonynt yn awgrymu topoleg, ac nid yw topoleg yn dewis mecanwaith.
Rhowch y ddwy echel mewn un tabl a daw'r dryswch yn weladwy, oherwydd gellir llenwi pob cell o'r grid. Yr hyn na all y grid ei wneud yw dweud wrthych pa gyfuniad a gludwyd gan eich gwerthwr, gan fod enwau cynnyrch yn cwympo'r ddwy echel i un ymadrodd marchnata.
O ble y daw'r camgymeriad categori
Gwerthodd gwerthwyr “SSL VPN” am flynyddoedd fel gwrthwyneb “IPsec VPN”, a oedd yn gwneud cymhariaeth mecanwaith i edrych fel dewis topoleg. Mae'r ymadrodd hefyd wedi heneiddio'n wael ar ei delerau ei hun, gan fod cynlluniau cyfredol yn defnyddio fersiynau TLS a gefnogir ac mae'r enw SSL yn goroesi'n bennaf fel categori cynnyrch.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Mae dau fyth cysylltiedig yn dilyn o'r un cwymp. Y cyntaf yw bod IPsec yn golygu safle-i-safle; cynlluniwyd IKEv2 ar gyfer perthnasoedd cleient-i-borth hefyd, felly gall gliniadur unigol ymuno ag IPsec. Yr ail yw bod cynnyrch sy'n seiliedig ar TLS yn golygu mynediad o bell yn unig; OpenVPN yn cael ei ddefnyddio'n rheolaidd i gario traffig rhwng dau safle, ac mae ei ddefnydd o TLS wedi'i ganolbwyntio ar y cyfnewid rheoli a dilysu yn hytrach nag ar sesiwn porwr.
Prawf defnyddiol ar gyfer unrhyw ddisgrifiad: os yw newid un gair yn newid y pwyntiau terfyn a'r protocol ill dau, mae'r frawddeg yn cymysgu'r echelau. Mae “SSL VPN yn erbyn safle-i-safle” yn methu'r prawf hwnnw, oherwydd bod y term cyntaf yn enwi teulu mecanwaith a'r ail yn enwi topoleg.
Disgrifiwch weithrediad fel y gellir ei gymharu
Ysgrifennwch bedwar slot a'u llenwi: pwyntiau terfyn, mecanwaith, dilysu ac arwyneb mynediad. Gall cysylltiad cangen ddarllen fel pâr o byrth IKEv2 rhwng dau ragddodiad a enwir gyda dilysu tystysgrif a heb borth ar lefel defnyddiwr. Gall gwasanaeth mynediad o bell ddarllen fel cleient sy'n seiliedig ar TLS sy'n neilltuo cyfeiriadau fesul defnyddiwr, yn gofyn am ail ffactor wrth fewngofnodi ac yn cyhoeddi parth DNS mewnol yn unig.
Mae'r brawddegau hynny'n gymharadwy mewn ffordd nad yw enwau cynnyrch. Gellir mesur dau gynllun mynediad o bell yn erbyn yr un llif gwaith defnyddiwr a'r un llwybr dirymu, a dau gynllun rhyngsafle yn erbyn yr un rhestr ragddodiadau, polisi traffig a gofynion methu. Mae'r labeli'n trefnu'r gymhariaeth; nid ydynt yn ei disodli.
Mae gan y derminoleg angor cyhoeddedig hefyd. Dogfen terminoleg VPN yr IETF yn gwahanu sawl model gwasanaeth, gan gynnwys mynediad o bell a safle-i-safle, oddi wrth y mecanweithiau a ddefnyddir i'w hadeiladu, sef yn union y gwahaniaeth sy'n parhau i gael ei golli.
Darllenwch y protocol a drafodwyd, nid enw'r cynnyrch
Nid yw'r label ar y blwch yn sefydlu'r hyn y cytunodd twnnel sy'n rhedeg arno. Gofynnwch i'r cymar yn uniongyrchol, ar ochr TLS, a darllenwch y fersiwn protocol a'r seiffr a gynhyrchwyd gan yr ysgwyd llaw yn hytrach na'r fersiwn yn y daflen.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefAr gyfer porth IPsec daw'r arsylwi cyfatebol o allbwn statws y gweithrediad ei hun, sy'n adrodd y cynigion IKE ac ESP sy'n cael eu defnyddio. Naill ffordd neu'r llall, yr un yw'r pwynt: rhaid darllen echel y mecanwaith o'r sesiwn fyw, oherwydd gall cleient a phorth drafod i lawr i rywbeth hŷn nag y disgwyliai'r naill weinyddwr na'r llall.
ipsec statusall | grep -E "IKE|ESP"Wedi hynny, y cwestiynau sy'n weddill yw'r rhai nad oes unrhyw label yn eu hateb. Pa fersiynau protocol sy'n dal i gael eu derbyn, sut mae hunaniaeth y porth yn cael ei dilysu, pa set algorithmau sy'n cael ei chaniatáu, pwy sy'n awdurdodi defnyddiwr penodol ar gyfer adnodd penodol, a beth sy'n dirymu mynediad pan gollir dyfais. Mae diagram topoleg ac enw mecanwaith yn ddechrau'r rhestr honno, nid yn ddewis arall iddi.
Cadwch y ddau label, felly, ond defnyddiwch hwy am yr hyn ydynt: ffordd fer o ddweud pa bwyntiau terfyn sy'n cael eu huno a sut y mae'r twnnel yn cael ei adeiladu. Yr eiliad y defnyddir y naill i ddiystyru'r llall, mae'r disgrifiad wedi rhoi'r gorau i ddisgrifio unrhyw beth.