Συγκεντρωτής ή πύλη; Πού βρίσκεται ο τερματισμός VPN στη διαδρομή σας

Δύο προμηθευτές μπορούν να αποκαλέσουν το ίδιο μηχάνημα συγκεντρωτή και πύλη, και καμία από τις δύο λέξεις δεν θα σας πει πού αποκρυπτογραφείται η κίνηση. Οι ετικέτες περιγράφουν ρόλους ανάπτυξης και όχι πρωτόκολλα, και οι ρόλοι επικαλύπτονται προς κάθε κατεύθυνση. Αυτό που μετράει σε μια ανασκόπηση σχεδίασης είναι η συσκευή που τερματίζει τη σήραγγα, τα στοιχεία ελέγχου γύρω της και η διαδρομή που ακολουθεί ένα αποκρυπτογραφημένο αίτημα. Αποφασίστε από αυτά τα τρία, και το ουσιαστικό στο φύλλο δεδομένων παύει να είναι επιχείρημα.

Δύο ετικέτες, μία απόφαση

Ο συγκεντρωτής συνήθως σημαίνει το κεντρικό σύστημα που δέχεται και διαχειρίζεται πολλές συνδέσεις ταυτόχρονα, και η λέξη υπονοεί κλίμακα. Η πύλη είναι ο ευρύτερος όρος για ένα άκρο που ενώνει μια σήραγγα με τα δίκτυα πίσω της, και μπορεί να περιγράψει δρομολογητή, τείχος προστασίας ή διαχειριζόμενη υπηρεσία. Καμία λέξη δεν ονομάζει πρωτόκολλο και καμία δεν υπόσχεται συγκεκριμένο σύνολο λειτουργιών. Η ίδια συσκευή μπορεί να πωλείται με τις δύο ονομασίες από δύο προμηθευτές, και γι' αυτό η συζήτηση για την ορολογία δεν τελειώνει ποτέ.

Αντιμετωπίστε την ετικέτα ως ένδειξη για την προβλεπόμενη χρήση και τίποτα περισσότερο. Η απόφαση ανήκει στις λειτουργίες που μπορείτε να επαληθεύσετε στη διαμόρφωση, όχι στις λέξεις του φυλλαδίου.

Βρείτε τη συσκευή που πραγματικά τερματίζει

Ακολουθήστε μια σύνδεση πελάτη από έξω προς τα μέσα. Κάτι δέχεται τη μεταφορά, κάτι επαληθεύει την ταυτότητα του ομολόγου, κάτι εκχωρεί διεύθυνση στον πελάτη, κάτι εξουσιοδοτεί έναν προορισμό και κάτι παρέχει διαδρομή επιστροφής. Αυτές οι πέντε λειτουργίες μπορούν να ζουν σε μία συσκευή ή σε πέντε, και το μόνο χρήσιμο ερώτημα είναι ποια συσκευή κάνει τι. Ένας δρομολογητής πιο πάνω μπορεί να μεταφέρει τα εξωτερικά πακέτα χωρίς ποτέ να τα αποκρυπτογραφήσει, και αυτή είναι ακριβώς η περίπτωση όπου ένα διάγραμμα τοπολογίας οδηγεί τον κριτικό να ονομάσει λάθος μηχάνημα.

Επιβεβαιώστε τον τερματισμό στον ίδιο τον υποψήφιοκαι όχι από το σχέδιο. Ένας υποδοχέας που ακούει στην αναμενόμενη θύρα μαζί με μια καταχώριση εδραιωμένης κατάστασης είναι ισχυρότερη απόδειξη από ένα διάγραμμα δικτύου, και η απουσία και των δύο είναι ακόμη ισχυρότερη.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Αποφασίστε με πέντε ιδιότητες, όχι με το όνομα του προϊόντος

Πέντε ιδιότητες ξεχωρίζουν τους υποψηφίους, και καθεμία απαντιέται από την τεκμηρίωση και όχι από το μάρκετινγκ. Ποιους ρόλους VPN υποστηρίζει αυτή η έκδοση, ποιες πηγές ταυτότητας μπορεί να χρησιμοποιήσει, ποιο εύρος προώθησης επιτρέπει, πόση χωρητικότητα αντέχει και πώς συμπεριφέρεται σε αστοχία. Ζητήστε τις πέντε γραπτώς και η ετικέτα γίνεται άσχετη με την απόφαση.

Η χωρητικότητα είναι η ιδιότητα που υπονοεί πιο έντονα η ετικέτα του συγκεντρωτή, και είναι αυτή που μένει συχνότερα ασαφής. Τα όρια ταυτοχρονισμού, η διεκπεραιωτική ικανότητα ανά σήραγγα και η συνολική διεκπεραιωτική ικανότητα είναι τρεις διαφορετικοί αριθμοί, και μια συσκευή μπορεί να είναι γενναιόδωρη στον έναν και φειδωλή στον άλλο. Η υψηλή διαθεσιμότητα είναι ιδιότητα του ζεύγους και όχι οποιουδήποτε μηχανήματος, και ανήκει στο ερώτημα της ανάκαμψης. Μια ετικέτα που υπονοεί κλίμακα δεν είναι προδιαγραφή κλίμακας.

Η ανάκαμψη ανήκει στην ίδια συζήτηση. Ρωτήστε πώς φτάνει ο διαχειριστής στη συσκευή όταν η ίδια η σήραγγα είναι το χαλασμένο εξάρτημα, γιατί μια διαδρομή εκτός ζώνης είναι απόφαση σχεδίασης και όχι αξεσουάρ.

Ελέγξτε τα στοιχεία πριν από την ετικέτα

Μια τρέχουσα υπηρεσία πρέπει να αξιολογείται με βάση τους υποστηριζόμενους ρόλους, την πολιτική ταυτότητας, το εύρος προώθησης, τη χωρητικότητα και τη συμπεριφορά ανάκαμψης, με απαντήσεις ειδικές για την έκδοση που θα αναπτύσσατε. Μια ιστορική επισκόπηση μπορεί να εξηγήσει γιατί υπάρχει η λέξη συγκεντρωτής, αλλά δεν μπορεί να σας πει τι υποστηρίζει μια τρέχουσα έκδοση.Επισκόπηση του Cisco VPNείναι χρήσιμο ορολογικό πλαίσιο ακριβώς για αυτόν τον λόγο, και το να το αντιμετωπίζετε ως τρέχουσα λίστα λειτουργιών είναι ο τρόπος με τον οποίο μια ανασκόπηση σχεδίασης πάει στραβά.

Στη συνέχεια επαληθεύστε έναν ισχυρισμό από άκρη σε άκρη. Επιλέξτε την ιδιότητα που μετράει περισσότερο, όπως η διεκπεραιωτική ικανότητα ανά σήραγγα ή ο χρόνος μετάπτωσης, και ζητήστε τη μέθοδο μέτρησης και όχι τον αριθμό. Ένας γρήγορος τοπικός έλεγχος του τι εκθέτει πραγματικά η συσκευή είναι μια λογική αρχή.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Στο Linux η πρώτη γραμμή μετρά συσχετίσεις ασφαλείας, και μια σήραγγα συνήθως έχει δύο, μία ανά κατεύθυνση, οπότε διαιρέστε τον αριθμό με το δύο πριν τον συγκρίνετε με έναν ισχυρισμό για σήραγγες. Σε κεντρικό υπολογιστή strongSwan η δεύτερη γραμμή ονομάζει τις σήραγγες απευθείας. Το πλήθος υποδοχέων δεν είναι υποκατάστατο: το IPsec NAT-T κρατά έναν κοινό υποδοχέα UDP 4500 για κάθε σήραγγα, οπότε το μέτρημα υποδοχέων σε αυτή τη θύρα δίνει μηδέν ή ένα, όσες σήραγγες κι αν υπάρχουν. Καμία από τις δύο γραμμές δεν είναι μέτρηση διεκπεραιωτικής ικανότητας και καμία δεν προβλέπει συμπεριφορά υπό φορτίο. Αυτό που σας δίνουν είναι η μονάδα για την οποία πρέπει να ρωτήσετε, και ένας προμηθευτής που μπορεί να περιγράψει τη μέθοδο έχει προδιαγραφή εκεί όπου αυτός που δεν μπορεί έχει φυλλάδιο.

Γράψτε τη διαδρομή και οι ετικέτες παύουν να μετράνε

Περιγράψτε την αρχιτεκτονική ως λίστα λειτουργιών με ιδιοκτήτες: τερματισμός, επαλήθευση ταυτότητας, εκχώρηση διευθύνσεων, εξουσιοδότηση, δρομολόγηση επιστροφής, καταγραφή και ανάκαμψη. Αυτή η περιγραφή επιβιώνει από μετονομασία προϊόντος, αλλαγή προμηθευτή και εξαγορά, και κανένα από αυτά δεν θα ενημερώσει το διάγραμμά σας.

Ελέγχετέ την απέναντι σε μια πραγματική συνεδρία πελάτη μία φορά το τρίμηνο, γιατί μια λειτουργία μπορεί να μετακινηθεί χωρίς κανείς να επεξεργαστεί το σχέδιο. Οι ετικέτες θα συνεχίσουν να αλλάζουν, και η λίστα ιδιοκτητών θα συνεχίσει να είναι αυτό που εξηγεί πραγματικά το δίκτυο.