Sådan vælger du VPN-gateways mellem lokationer, der kan samarbejde

To lokationsgateways fra forskellige leverandører danner en tunnel, hvis deres implementeringer er enige om de parametre, der forhandles. Identiske mærker er ikke et krav, og ens mærker er heller ikke nogen garanti. Kompatibilitetsspørgsmålet handler om funktioner og versioner; kapacitetsspørgsmålet handler om det arbejde, enheden skal udføre i software. Behandl dem som to kontroller, netop i den rækkefølge.

Gå ned ad listen, og stop ved det første punkt, der ikke har et svar.

Start med protokollens funktioner, ikke med mærket

Til den protokol, du agter at køre, skal du liste, hvad designet kræver: godkendelsesmetode, aftalte krypterings- og integritetsforslag, grænsefladen eller konstruktionen til beskyttet trafik, routingtilstand og om en af siderne står bag NAT. Hver af dem er en funktion, implementeringen skal understøtte, ikke et afkrydsningsfelt på en produktside.

AWS’ krav til kundegateways er en nyttig skabelon, selv når du ikke forbinder til AWS, fordi de formulerer kontrakten som et sæt forpligtelser til protokol og routing. En leverandørsøvefil til en bestemt model er et rimeligt bevis på, at nogen har afprøvet netop den kombination. En generisk etiket, der påstår IPsec-understøttelse, beviser hverken versionen eller politikmodellen. Læs udgivelsesnoterne i stedet for markedsføringsresuméet.

Kontrollér versionen, ikke etiketten på databladet

IKEv2-interoperabilitet afgøres af de forhandlede parametre, så spørgsmålet er, hvilke forslag den aktuelle firmware tilbyder og accepterer. En enhed, der understøtter protokollen generelt, kan stadig afvise den bestemte kombination, som din anden ende insisterer på. Bekræft versionsstrengen og forslagslisten i begge ender.

En note om, at en funktion først kom i et senere firmwaretog, er almindelig nok til at fortjene sit eget punkt på tjeklisten.

Behandl kapacitet som et særskilt spørgsmål

Kryptering koster arbejde, og hvor meget afhænger af implementeringen lige så meget som af algoritmen. Nogle accelerationsveje gælder kun for bestemte algoritmer eller bestemte videresendelsesveje, så en enhed kan være hurtig i én konfiguration og langsom i en anden. Almindelig WAN-gennemstrømning er ikke krypteret tunnelgennemstrømning. Dimensionér enheden efter den trafik, du faktisk vil beskytte.

Pakningsstørrelse betyder også noget, fordi indkapsling og enhver ekstra omkostning reducerer den nyttelast, hver pakke bærer.

Fastlæg routingpolitikken eksplicit

Mellem lokationer betyder ikke, at kun udvalgt trafik må bruge tunnelen, og det betyder ikke, at alt skal. Et design kan føre bestemte private præfikser eller route en standardrute gennem gatewayen. Vælg én, og skriv den ned, fordi begge ender skal være enige om, hvad der annonceres, og hvad der accepteres. Uenighed her giver en tunnel, der er oppe, og et netværk, der kun er halvt tilgængeligt.

Dynamisk routedesign tilføjer et krav mere: understøttelse af routingprotokol i begge ender.

Hvad du skal sammenligne, før du køber

Sammenlign opdateringskadence, interoperabilitetsbevis, gendannelse af konfiguration og den tilsigtede failoveradfærd side om side med spidshastigheden. Spørg, hvad der sker, når enheden genstarter med en forældet konfiguration. Spørg, om leverandøren offentliggør en interoperabilitetsliste til netop den peer, du planlægger at bruge. Spørg, hvem der ejer ændringen, når en firmwareopdatering ændrer et standardforslag.

En hardwaregaranti er ikke et svar på noget af det.

Prøv derefter parret, før du forpligter dig til en flåde. En tunnel, de rigtige forslag, den rigtige routingtilstand og en overførsel, der ligner arbejdsbyrden, vil fortælle dig mere end nogen specifikationstabel.