Koncentrator eller gateway? Hvor VPN-termineringen ligger i din vej

To leverandører kan kalde den samme boks en koncentrator og en gateway, og ingen af ordene fortæller dig, hvor trafikken dekrypteres. Etiketterne beskriver udrulningsroller frem for protokoller, og rollerne overlapper i alle retninger. Det, der betyder noget i en designgennemgang, er den enhed, der terminerer tunnelen, kontrollerne omkring den og den vej, en dekrypteret anmodning tager. Beslut ud fra de tre, og navneordet på databladet holder op med at være et argument.

To etiketter, én beslutning

En koncentrator betyder normalt det centrale system, der modtager og styrer mange forbindelser på én gang, og ordet antyder skala. En gateway er det bredere udtryk for et endepunkt, der forbinder en tunnel med netværkene bag den, og det kan beskrive en router, en firewall eller en administreret tjeneste. Ingen af ordene navngiver en protokol, og ingen af dem lover et bestemt funktionssæt. Den samme enhed kan sælges under begge navne af to leverandører, og derfor bliver terminologidiskussionen aldrig afsluttet.

Behandl etiketten som et vink om det tilsigtede brug og intet mere. Beslutningen tilhører de funktioner, du kan verificere i konfigurationen, ikke ordene i brochuren.

Find den enhed, der faktisk terminerer

Følg en klientforbindelse udefra og ind. Noget accepterer transporten, noget autentificerer modparten, noget tildeler klienten en adresse, noget autoriserer en destination, og noget leverer en returrute. De fem funktioner kan ligge på én enhed eller på fem, og det eneste nyttige spørgsmål er, hvilken enhed der gør hvad. En router længere fremme kan bære de ydre pakker uden nogensinde at dekryptere dem, og det er netop det tilfælde, hvor et topologidiagram får en anmelder til at navngive den forkerte boks.

Bekræft termineringen på selve kandidateni stedet for ud fra tegningen. En lyttende socket på den forventede port plus en etableret tilstandspost er stærkere bevis end et netværksdiagram, og fraværet af begge er endnu stærkere.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Beslut ud fra fem egenskaber, ikke produktnavnet

Fem egenskaber adskiller kandidaterne, og hver af dem kan besvares ud fra dokumentation frem for marketing. Hvilke VPN-roller understøtter denne version, hvilke identitetskilder kan den bruge, hvilket videresendelsesomfang tillader den, hvor meget kapacitet holder den, og hvordan opfører den sig ved fejl. Bed om de fem på skrift, og etiketten bliver uden betydning for beslutningen.

Kapacitet er den egenskab, som koncentratoretiketten antyder stærkest, og den er den, der oftest efterlades upræcis. Grænser for samtidighed, gennemstrømning pr. tunnel og samlet gennemstrømning er tre forskellige tal, og en enhed kan være gavmild i det ene og nærig i det andet. Høj tilgængelighed er en egenskab ved parret frem for ved nogen af boksene, og den hører til genopretningsspørgsmålet. En etiket, der antyder skala, er ikke en specifikation af skala.

Genopretning hører til i den samme samtale. Spørg, hvordan en administrator når enheden, når tunnelen selv er den ødelagte komponent, fordi en out-of-band-vej er en designbeslutning frem for et tilbehør.

Kontrollér beviserne før etiketten

En aktuel tjeneste bør vurderes på understøttede roller, identitetspolitik, videresendelsesomfang, kapacitet og genopretningsadfærd med svar, der er specifikke for den version, du ville udrulle. En historisk oversigt kan forklare, hvorfor ordet koncentrator findes, men den kan ikke fortælle, hvad en aktuel version understøtter.Cisco VPN-oversigter netop derfor en nyttig terminologisk kontekst, og at behandle den som en aktuel funktionsliste er måden, hvorpå en designgennemgang går galt.

Verificér derefter én påstand fra ende til anden. Vælg den egenskab, der betyder mest, såsom gennemstrømning pr. tunnel eller failover-tid, og bed om målemetoden frem for tallet. En hurtig lokal kontrol af, hvad enheden faktisk eksponerer, er en rimelig begyndelse.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

På Linux tæller den første linje sikkerhedsassociationer, og en tunnel har normalt to af dem, én pr. retning, så halvér antallet, før du sammenligner det med en tunnelpåstand. På en strongSwan-vært navngiver den anden linje tunnelerne direkte. Et socketantal er ingen erstatning: IPsec NAT-T holder en enkelt UDP 4500-socket delt af hver tunnel, så tælling af sockets på den port giver nul eller én, uanset hvor mange tunneler der findes. Ingen af linjerne er en gennemstrømningsmåling, og ingen af dem forudsiger adfærd under belastning. Det, de giver dig, er den enhed, du skal spørge om, og en leverandør, der kan beskrive metoden, har en specifikation, hvor en, der ikke kan, har en brochure.

Skriv vejen ned, og etiketterne holder op med at betyde noget

Beskriv arkitekturen som en liste af funktioner med ejere: terminering, autentificering, adressetildeling, autorisation, returrouting, logning og genopretning. Den beskrivelse overlever et produktnavneskift, en leverandørskift og en overtagelse, og ingen af dem opdaterer dit diagram.

Gennemgå den mod en rigtig klientsession en gang i kvartalet, fordi en funktion kan flytte sig, uden at nogen redigerer tegningen. Etiketterne bliver ved med at ændre sig, og ejerlisten bliver ved med at være det, der faktisk forklarer netværket.