Konzentrator oder Gateway? Wo der VPN-Terminator auf Ihrem Pfad liegt

Zwei Anbieter können dieselbe Box einen Konzentrator und ein Gateway nennen, und keines der Wörter sagt Ihnen, wo der Verkehr entschlüsselt wird. Die Bezeichnungen beschreiben Bereitstellungsrollen statt Protokolle, und die Rollen überschneiden sich in jede Richtung. Für eine Designprüfung zählt das Gerät, das den Tunnel terminiert, die Kontrollen darum herum und der Pfad, den eine entschlüsselte Anfrage nimmt. Entscheiden Sie anhand dieser drei Punkte, und das Substantiv im Datenblatt hört auf, ein Argument zu sein.

Zwei Bezeichnungen, eine Entscheidung

Ein Konzentrator meint meist das zentrale System, das viele Verbindungen gleichzeitig annimmt und verwaltet, und das Wort trägt eine Andeutung von Skalierung. Ein Gateway ist der weitere Begriff für einen Endpunkt, der einen Tunnel mit den Netzen dahinter verbindet, und er kann einen Router, eine Firewall oder einen verwalteten Dienst beschreiben. Keines der Wörter benennt ein Protokoll, und keines verspricht einen bestimmten Funktionsumfang. Dasselbe Gerät kann von zwei Anbietern unter beiden Namen verkauft werden, und deshalb wird die Terminologiedebatte nie entschieden.

Behandeln Sie die Bezeichnung als Hinweis auf den vorgesehenen Einsatz und nichts weiter. Die Entscheidung gehört den Funktionen, die Sie in der Konfiguration prüfen können, nicht den Wörtern in der Broschüre.

Finden Sie das Gerät, das tatsächlich terminiert

Verfolgen Sie eine Client-Verbindung von außen nach innen. Etwas nimmt den Transport an, etwas authentifiziert die Gegenstelle, etwas weist dem Client eine Adresse zu, etwas autorisiert ein Ziel, und etwas liefert eine Rückroute. Diese fünf Funktionen können auf einem Gerät oder auf fünf liegen, und die einzig nützliche Frage ist, welches Gerät welche übernimmt. Ein Router weiter oben kann die äußeren Pakete tragen, ohne sie je zu entschlüsseln, und genau dann verleitet ein Topologiediagramm einen Prüfer dazu, die falsche Box zu benennen.

Bestätigen Sie die Terminierung am Kandidaten selbststatt anhand der Zeichnung. Ein lauschender Socket auf dem erwarteten Port plus ein etablierter Zustandseintrag sind ein stärkerer Beleg als ein Netzdiagramm, und das Fehlen beider ist noch stärker.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Entscheiden Sie nach fünf Eigenschaften, nicht nach dem Produktnamen

Fünf Eigenschaften trennen die Kandidaten, und jede ist aus der Dokumentation statt aus dem Marketing beantwortbar. Welche VPN-Rollen unterstützt diese Version, welche Identitätsquellen kann sie nutzen, welchen Weiterleitungsbereich erlaubt sie, welche Kapazität hält sie, und wie verhält sie sich bei Ausfall. Fordern Sie diese fünf schriftlich, und die Bezeichnung wird für die Entscheidung irrelevant.

Kapazität ist die Eigenschaft, die die Konzentrator-Bezeichnung am stärksten andeutet, und sie bleibt am häufigsten vage. Nebenläufigkeitsgrenzen, Durchsatz pro Tunnel und Gesamtdurchsatz sind drei verschiedene Zahlen, und ein Gerät kann bei der einen großzügig und bei der anderen knauserig sein. Hochverfügbarkeit ist eine Eigenschaft des Paars und nicht einer der Boxen, und sie gehört zur Frage der Wiederherstellung. Eine Bezeichnung, die Skalierung andeutet, ist keine Spezifikation von Skalierung.

Wiederherstellung gehört in dasselbe Gespräch. Fragen Sie, wie ein Administrator das Gerät erreicht, wenn der Tunnel selbst die kaputte Komponente ist, denn ein Out-of-Band-Pfad ist eine Designentscheidung und kein Zubehör.

Prüfen Sie die Belege vor der Bezeichnung

Ein aktueller Dienst sollte anhand unterstützter Rollen, Identitätsrichtlinie, Weiterleitungsbereich, Kapazität und Wiederherstellungsverhalten bewertet werden, mit Antworten speziell für die Version, die Sie einsetzen würden. Ein historischer Überblick kann erklären, warum das Wort Konzentrator existiert, aber er kann nicht sagen, was eine aktuelle Version unterstützt.Cisco-VPN-Überblickist genau deshalb ein nützlicher Terminologie-Kontext, und ihn als aktuelle Funktionsliste zu behandeln, ist der Weg, auf dem eine Designprüfung schiefgeht.

Prüfen Sie dann eine Aussage von Anfang bis Ende. Wählen Sie die Eigenschaft, die am meisten zählt, etwa Durchsatz pro Tunnel oder Failover-Zeit, und fragen Sie nach der Messmethode statt nach der Zahl. Eine schnelle lokale Prüfung dessen, was das Gerät tatsächlich zeigt, ist ein vernünftiger Anfang.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Unter Linux zählt die erste Zeile Sicherheitsassoziationen, und ein Tunnel hat normalerweise zwei davon, eine pro Richtung, also halbieren Sie die Zahl, bevor Sie sie mit einer Tunnelaussage vergleichen. Auf einem strongSwan-Host benennt die zweite Zeile die Tunnel direkt. Eine Socket-Zählung ersetzt das nicht: IPsec NAT-T hält einen einzigen UDP-4500-Socket, den sich alle Tunnel teilen, sodass das Zählen von Sockets auf diesem Port null oder eins ergibt, egal wie viele Tunnel es gibt. Keine der Zeilen ist eine Durchsatzmessung, und keine sagt das Verhalten unter Last voraus. Sie geben Ihnen die Einheit, nach der Sie fragen müssen, und ein Anbieter, der die Methode beschreiben kann, hat eine Spezifikation, wo einer, der es nicht kann, eine Broschüre hat.

Schreiben Sie den Pfad auf, und die Bezeichnungen sind nicht mehr wichtig

Beschreiben Sie die Architektur als Liste von Funktionen mit Verantwortlichen: Terminierung, Authentifizierung, Adresszuweisung, Autorisierung, Rückrouting, Protokollierung und Wiederherstellung. Diese Beschreibung überlebt eine Produktumbenennung, einen Anbieterwechsel und eine Übernahme, und nichts davon aktualisiert Ihr Diagramm.

Prüfen Sie sie einmal im Quartal gegen eine echte Client-Sitzung, denn eine Funktion kann wandern, ohne dass jemand die Zeichnung ändert. Die Bezeichnungen werden sich weiter ändern, und die Liste der Verantwortlichen wird weiterhin das sein, was das Netz tatsächlich erklärt.