Site-to-Site-VPN-Gateways auswählen, die zusammenarbeiten

Zwei Standort-Gateways verschiedener Hersteller bilden einen Tunnel, wenn ihre Implementierungen sich über die ausgehandelten Parameter einig sind. Identische Marken sind keine Voraussetzung, und übereinstimmende Marken sind ebenso wenig eine Garantie. Die Kompatibilitätsfrage betrifft Funktionen und Releases; die Kapazitätsfrage betrifft die Arbeit, die das Gerät in Software leisten muss. Behandeln Sie beides als zwei Prüfungen, genau in dieser Reihenfolge.

Arbeiten Sie die Liste durch und halten Sie beim ersten Punkt an, für den es keine Antwort gibt.

Beginnen Sie bei den Protokollfunktionen, nicht bei der Marke

Listen Sie für das Protokoll, das Sie betreiben wollen, auf, was das Design braucht: Authentifizierungsmethode, vereinbarte Verschlüsselungs- und Integritätsvorschläge, die Schnittstelle oder das Konstrukt für geschützten Verkehr, den Routing-Modus und ob eine Seite hinter NAT sitzt. Jedes davon ist eine Funktion, die die Implementierung unterstützen muss, kein Häkchen auf einer Produktseite.

Die Kunden-Gateway-Anforderungen von AWS sind eine brauchbare Vorlage, auch wenn Sie sich nicht mit AWS verbinden, weil sie den Vertrag als eine Reihe von Verpflichtungen zu Protokoll und Routing formulieren. Eine Hersteller-Beispieldatei für ein bestimmtes Modell ist ein ordentlicher Beleg dafür, dass jemand diese Kombination getestet hat. Ein allgemeines Etikett, das IPsec-Unterstützung behauptet, belegt weder die Version noch das Richtlinienmodell. Lesen Sie die Release-Hinweise statt der Marketing-Zusammenfassung.

Prüfen Sie das Release, nicht das Etikett auf dem Datenblatt

IKEv2-Interoperabilität entscheidet sich an den ausgehandelten Parametern, also lautet die Frage, welche Vorschläge die aktuelle Firmware anbietet und akzeptiert. Ein Gerät, das das Protokoll grundsätzlich unterstützt, kann die genau Kombination, auf der Ihre andere Seite besteht, trotzdem ablehnen. Bestätigen Sie den Versionsstring und die Vorschlagsliste auf beiden Seiten.

Ein Hinweis, dass eine Funktion in einem späteren Firmware-Zug kam, ist häufig genug, um einen eigenen Punkt auf der Checkliste zu verdienen.

Behandeln Sie die Kapazität als eigene Frage

Verschlüsselung kostet Arbeit, und wie viel, hängt von der Implementierung ebenso ab wie vom Algorithmus. Manche Beschleunigungspfade gelten nur für bestimmte Algorithmen oder bestimmte Weiterleitungspfade, daher kann ein Gerät in einer Konfiguration schnell und in einer anderen langsam sein. Gewöhnlicher WAN-Durchsatz ist nicht der Durchsatz eines verschlüsselten Tunnels. Dimensionieren Sie das Gerät nach dem Verkehr, den Sie tatsächlich schützen wollen.

Auch die Paketgröße zählt, denn Kapselung und jeder zusätzliche Aufwand verkleinern die Nutzlast, die jedes Paket trägt.

Legen Sie die Routing-Richtlinie ausdrücklich fest

Standortübergreifend heißt nicht, dass nur ausgewählter Verkehr den Tunnel nutzen darf, und es heißt nicht, dass alles es muss. Ein Design kann bestimmte private Präfixe führen oder eine Standardroute über das Gateway leiten. Wählen Sie eines und schreiben Sie es auf, denn beide Enden müssen sich einig sein, was angekündigt und was akzeptiert wird. Eine Abweichung hier erzeugt einen Tunnel, der steht, und ein Netz, das nur halb erreichbar ist.

Dynamisch geroutete Designs fügen eine weitere Anforderung hinzu: Unterstützung des Routing-Protokolls an beiden Enden.

Was Sie vor dem Kauf vergleichen sollten

Vergleichen Sie die Aktualisierungsfrequenz, Interoperabilitätsnachweise, die Wiederherstellung der Konfiguration und das beabsichtigte Failover-Verhalten neben der Spitzentransferrate. Fragen Sie, was passiert, wenn das Gerät mit einer veralteten Konfiguration neu startet. Fragen Sie, ob der Hersteller eine Interoperabilitätsliste für genau den Peer veröffentlicht, den Sie nutzen wollen. Fragen Sie, wer die Änderung verantwortet, wenn ein Firmware-Update einen Standardvorschlag ändert.

Eine Hardware-Garantie ist keine Antwort auf all das.

Testen Sie dann das Paar, bevor Sie sich auf eine Flotte festlegen. Ein Tunnel, die echten Vorschläge, der echte Routing-Modus und eine Übertragung, die der Arbeitslast ähnelt, sagen Ihnen mehr als jede Spezifikationstabelle.