Γιατί το SSL VPN και το VPN από τοποθεσία σε τοποθεσία δεν είναι αντίθετα
Το SSL VPN και το VPN από τοποθεσία σε τοποθεσία περιγράφουν διαφορετικούς άξονες: ποιος συνδέεται στο δίκτυο και πώς χτίζεται το τούνελ. Το να τα ονομάζουμε και τα δύο μαζί είναι σφάλμα κατηγορίας.
Ζητήστε από δύο διαχειριστές να περιγράψουν το ίδιο VPN και ο ένας μπορεί να απαντήσει «SSL VPN» ενώ ο άλλος λέει «από τοποθεσία σε τοποθεσία», σαν να ήταν οι δύο ανταγωνιστικές επιλογές σε ένα μενού. Είναι απαντήσεις σε διαφορετικά ερωτήματα, και η αντιμετώπισή τους ως εναλλακτικές παράγει συγκρίσεις που δεν μπορούν να επιλυθούν. Η μία ετικέτα λέει ποια άκρα συνδέονται· η άλλη λέει τι μεταφέρει την κίνηση μεταξύ τους. Κρατήστε τους άξονες χωριστούς και το μεγαλύτερο μέρος της διαφωνίας εξαφανίζεται.
Δύο ετικέτες, δύο ξεχωριστά ερωτήματα
Η τοπολογία απαντά ποιος συνδέεται με τι. Ένας σχεδιασμός απομακρυσμένης πρόσβασης συνδέει μεμονωμένους χρήστες ή συσκευές σε μια πύλη, συνήθως με ταυτότητα ανά χρήστη και μια δεξαμενή διευθύνσεων. Ένας σχεδιασμός από τοποθεσία σε τοποθεσία ενώνει δύο δίκτυα μέσω πυλών, οπότε η ενδιαφέρουσα ταυτότητα είναι η ομότιμη πύλη και όχι το άτομο στο πληκτρολόγιο. Αυτά είναι διαφορετικά επιχειρησιακά προβλήματα, από τον σχεδιασμό διευθύνσεων μέχρι το ποιος μπορεί να ανακαλέσει την πρόσβαση στις 2 τα ξημερώματα.
Ο μηχανισμός απαντά πώς χτίζεται και πιστοποιείται το τούνελ. Το IPsec με IKEv2, ένα προϊόν βασισμένο σε TLS που μεταφέρει IP μέσα του, και μια πύλη εφαρμογών με πρόσοψη προς τον περιηγητή είναι επιλογές μηχανισμού, και καθεμία έχει τη δική της διαπραγμάτευση, τις δικές της σουίτες κρυπτογράφησης και τους δικούς της τρόπους αποτυχίας. Καμία δεν υπονοεί τοπολογία, και μια τοπολογία δεν επιλέγει μηχανισμό.
Βάλτε τους δύο άξονες σε έναν πίνακα και η σύγχυση γίνεται ορατή, επειδή κάθε κελί του πλέγματος μπορεί να συμπληρωθεί. Αυτό που δεν μπορεί να κάνει το πλέγμα είναι να σας πει ποιον συνδυασμό παρέδωσε ο προμηθευτής σας, αφού τα ονόματα προϊόντων συμπτύσσουν και τους δύο άξονες σε μία φράση μάρκετινγκ.
Από πού προέρχεται το σφάλμα κατηγορίας
Οι προμηθευτές πουλούσαν το «SSL VPN» για χρόνια ως το αντίθετο του «IPsec VPN», κάτι που έκανε μια σύγκριση μηχανισμών να μοιάζει με επιλογή τοπολογίας. Η φράση έχει επίσης γεράσει άσχημα με τους δικούς της όρους, καθώς οι σημερινοί σχεδιασμοί χρησιμοποιούν υποστηριζόμενες εκδόσεις TLS και το όνομα SSL επιβιώνει κυρίως ως κατηγορία προϊόντος.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Δύο σχετικοί μύθοι προκύπτουν από την ίδια σύμπτυξη. Ο πρώτος είναι ότι το IPsec σημαίνει από τοποθεσία σε τοποθεσία· το IKEv2 σχεδιάστηκε και για σχέσεις πελάτη-πύλης, οπότε ένας μεμονωμένος φορητός υπολογιστής μπορεί να συνδεθεί με IPsec. Ο δεύτερος είναι ότι ένα προϊόν βασισμένο σε TLS σημαίνει μόνο απομακρυσμένη πρόσβαση· OpenVPN χρησιμοποιείται τακτικά για τη μεταφορά κίνησης μεταξύ δύο τοποθεσιών, και η χρήση του TLS συγκεντρώνεται στην ανταλλαγή ελέγχου και πιστοποίησης παρά σε μια συνεδρία περιηγητή.
Ένα χρήσιμο τεστ για κάθε περιγραφή: αν η αλλαγή μιας λέξης αλλάζει τόσο τα άκρα όσο και το πρωτόκολλο, η πρόταση αναμιγνύει τους άξονες. Το «SSL VPN έναντι από τοποθεσία σε τοποθεσία» αποτυγχάνει σε αυτό το τεστ, επειδή ο πρώτος όρος ονομάζει μια οικογένεια μηχανισμών και ο δεύτερος μια τοπολογία.
Περιγράψτε μια ανάπτυξη ώστε να μπορεί να συγκριθεί
Γράψτε τέσσερα πεδία και συμπληρώστε τα: άκρα, μηχανισμός, πιστοποίηση και επιφάνεια πρόσβασης. Μια σύνδεση υποκαταστήματος μπορεί να διαβαστεί ως ζεύγος πυλών IKEv2 μεταξύ δύο ονομασμένων προθεμάτων με πιστοποίηση πιστοποιητικού και χωρίς πύλη σε επίπεδο χρήστη. Μια υπηρεσία απομακρυσμένης πρόσβασης μπορεί να διαβαστεί ως πελάτης βασισμένος σε TLS που εκχωρεί διευθύνσεις ανά χρήστη, απαιτεί δεύτερο παράγοντα κατά τη σύνδεση και δημοσιεύει μόνο μια εσωτερική ζώνη DNS.
Αυτές οι προτάσεις είναι συγκρίσιμες με τρόπο που τα ονόματα προϊόντων δεν είναι. Δύο σχεδιασμοί απομακρυσμένης πρόσβασης μπορούν να μετρηθούν με την ίδια ροή εργασίας χρήστη και την ίδια διαδρομή ανάκλησης, και δύο σχεδιασμοί μεταξύ τοποθεσιών με την ίδια λίστα προθεμάτων, πολιτική κίνησης και απαιτήσεις αποτυχίας. Οι ετικέτες οργανώνουν τη σύγκριση· δεν την αντικαθιστούν.
Η ορολογία έχει επίσης ένα δημοσιευμένο στήριγμα. Το έγγραφο ορολογίας VPN του IETF διαχωρίζει αρκετά μοντέλα υπηρεσίας, μεταξύ των οποίων η απομακρυσμένη πρόσβαση και η από τοποθεσία σε τοποθεσία, από τους μηχανισμούς με τους οποίους χτίζονται, και αυτή είναι ακριβώς η διάκριση που χάνεται διαρκώς.
Διαβάστε το διαπραγματευμένο πρωτόκολλο, όχι το όνομα του προϊόντος
Η ετικέτα στο κουτί δεν καθορίζει σε τι συμφώνησε ένα τούνελ που τρέχει. Ρωτήστε τον ομότιμο απευθείας, στην πλευρά TLS, και διαβάστε την έκδοση πρωτοκόλλου και τον κρυπτογράφο που παρήγαγε η χειραψία αντί για την έκδοση στο φυλλάδιο.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefΓια μια πύλη IPsec η αντίστοιχη παρατήρηση προέρχεται από την ίδια την έξοδο κατάστασης της υλοποίησης, η οποία αναφέρει τις προτάσεις IKE και ESP που χρησιμοποιούνται. Όπως και να έχει, το σημείο είναι το ίδιο: ο άξονας του μηχανισμού πρέπει να διαβάζεται από τη ζωντανή συνεδρία, επειδή πελάτης και πύλη μπορούν να διαπραγματευτούν προς τα κάτω σε κάτι παλαιότερο από ό,τι περίμενε οποιοσδήποτε από τους δύο διαχειριστές.
ipsec statusall | grep -E "IKE|ESP"Μετά από αυτό, τα υπόλοιπα ερωτήματα είναι εκείνα που καμία ετικέτα δεν απαντά. Ποιες εκδόσεις πρωτοκόλλου γίνονται ακόμη δεκτές, πώς επικυρώνεται η ταυτότητα της πύλης, ποιο σύνολο αλγορίθμων επιτρέπεται, ποιος εξουσιοδοτεί έναν δεδομένο χρήστη για έναν δεδομένο πόρο και τι ανακαλεί την πρόσβαση όταν μια συσκευή χαθεί. Ένα διάγραμμα τοπολογίας και ένα όνομα μηχανισμού είναι η αρχή αυτής της λίστας, όχι υποκατάστατό της.
Κρατήστε λοιπόν τις δύο ετικέτες, αλλά χρησιμοποιήστε τις για αυτό που είναι: ένας σύντομος τρόπος να πούμε ποια άκρα συνδέονται και πώς χτίζεται το τούνελ. Τη στιγμή που η μία χρησιμοποιείται για να αποκλείσει την άλλη, η περιγραφή έχει πάψει να περιγράφει οτιδήποτε.