Koncentrilo aŭ kluzo? Kie troviĝas la VPN-finpunkto en via vojo

Du vendistoj povas nomi la saman skatolon koncentrilo kaj kluzo, kaj neniu el la du vortoj diros al vi, kie la trafiko malĉifriĝas. La etikedoj priskribas deplojajn rolojn anstataŭ protokolojn, kaj la roloj interkovriĝas en ĉiu direkto. Por dizajna revizio gravas la aparato, kiu finas la tunelon, la regiloj ĉirkaŭ ĝi, kaj la vojo, kiun prenas malĉifrita peto. Decidu laŭ tiuj tri, kaj la substantivo sur la datumfolio ĉesas esti argumento.

Du etikedoj, unu decido

Koncentrilo kutime signifas la centran sistemon, kiu akceptas kaj administras multajn konektojn samtempe, kaj la vorto implicas skalon. Kluzo estas la pli vasta termino por finpunkto, kiu kunigas tunelon al la retoj malantaŭ ĝi, kaj ĝi povas priskribi enkursigilon, fajroŝirmilon aŭ administritan servon. Neniu vorto nomas protokolon, kaj neniu promesas difinitan funkciaron. La sama aparato povas esti vendata sub ambaŭ nomoj de du vendistoj, kaj tial la terminologia diskuto neniam finiĝas.

Traktu la etikedon kiel indikon pri la celata uzo kaj nenion pli. La decido apartenas al la funkcioj, kiujn vi povas kontroli en la agordo, ne al la vortoj en la broŝuro.

Trovu la aparaton, kiu efektive finas la tunelon

Sekvu klientan konekton de ekstere enen. Io akceptas la transporton, io aŭtentikigas la partneron, io asignas adreson al la kliento, io rajtigas celon, kaj io provizas revenan vojon. Tiuj kvin funkcioj povas loĝi sur unu aparato aŭ sur kvin, kaj la sola utila demando estas, kiu aparato faras kion. Enkursigilo pli supre povas porti la eksterajn pakaĵojn sen iam malĉifri ilin, kaj ĝuste tiu estas la kazo, kiam topologia diagramo trompas revizianton nomi la malĝustan skatolon.

Konfirmu la finiĝon sur la kandidato memanstataŭ laŭ la desegnaĵo. Aŭskultanta ingo sur la atendata pordo kune kun enskribo de establita stato estas pli forta pruvo ol reta diagramo, kaj la manko de ambaŭ estas eĉ pli forta.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Decidu laŭ kvin ecoj, ne laŭ la produkta nomo

Kvin ecoj apartigas la kandidatojn, kaj ĉiu estas respondebla el dokumentaro anstataŭ el merkatado. Kiujn VPN-rolojn subtenas ĉi tiu eldono, kiujn identecajn fontojn ĝi povas uzi, kiun plusendan amplekson ĝi permesas, kiom da kapacito ĝi tenas, kaj kiel ĝi kondutas ĉe fiasko. Petu tiujn kvin skribe, kaj la etikedo fariĝas nerelevanta por la decido.

Kapacito estas la eco, kiun la etikedo de koncentrilo implicas plej forte, kaj ĝi estas la plej ofte lasata malpreciza. Limoj de samtempeco, trafluo por tunelo kaj totala trafluo estas tri malsamaj nombroj, kaj aparato povas esti malavara en unu kaj avara en alia. Alta havebleco estas eco de la paro anstataŭ de iu ajn skatolo, kaj ĝi apartenas al la demando pri restaŭro. Etikedo, kiu sugestas skalon, ne estas specifiko de skalo.

Restaŭro apartenas al la sama interparolo. Demandu, kiel administranto atingas la aparaton, kiam la tunelo mem estas la rompita komponanto, ĉar ekstrabenda vojo estas dizajna decido, ne aldonaĵo.

Kontrolu la pruvojn antaŭ la etikedo

Nuna servo estu taksata laŭ subtenataj roloj, identeca politiko, plusenda amplekso, kapacito kaj restaŭra konduto, kun respondoj specifaj por la versio, kiun vi deplojus. Historia superrigardo povas klarigi, kial ekzistas la vorto koncentrilo, sed ĝi ne povas diri, kion subtenas nuna eldono.Superrigardo de Cisco VPNestas utila terminologia kunteksto ĝuste pro tio, kaj trakti ĝin kiel aktualan funkcion liston estas la maniero, kiel dizajna revizio misfunkcias.

Poste kontrolu unu aserton de komenco ĝis fino. Elektu la econ, kiu plej gravas, ekzemple trafluon por tunelo aŭ transirtan tempon, kaj petu la mezurmetodon anstataŭ la nombron. Rapida loka kontrolo de tio, kion la aparato efektive montras, estas racia komenco.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

En Linux la unua linio kalkulas sekurecajn asociojn, kaj tunelo kutime havas du el ili, unu por ĉiu direkto, do duonigu la kalkulon antaŭ ol kompari ĝin kun aserto pri tuneloj. Sur strongSwan-gastiganto la dua linio nomas la tunelojn rekte. Ingokalkulo ne anstataŭas tion: IPsec NAT-T tenas unu komunan UDP 4500-ingon por ĉiu tunelo, do kalkuli ingojn sur tiu pordo donas nulon aŭ unu, kiom ajn da tuneloj ekzistas. Neniu el la linioj estas mezuro de trafluo, kaj neniu antaŭdiras konduton sub ŝarĝo. Ili donas al vi la unuon pri kiu demandi, kaj vendisto, kiu povas priskribi la metodon, havas specifikon tie, kie tiu, kiu ne povas, havas broŝuron.

Skribu la vojon kaj la etikedoj ĉesas gravi

Priskribu la arkitekturon kiel liston de funkcioj kun posedantoj: finado, aŭtentikigo, adresa asigno, rajtigo, reena enkursigo, protokolado kaj restaŭro. Tiu priskribo postvivas produktonomŝanĝon, vendistan ŝanĝon kaj aĉeton, kaj neniu el ili ĝisdatigos vian diagramon.

Reviziu ĝin kontraŭ reala klienta seanco unufoje en kvarono, ĉar funkcio povas moviĝi sen ke iu redaktu la desegnaĵon. La etikedoj daŭre ŝanĝiĝos, kaj la listo de posedantoj daŭre estos tio, kio efektive klarigas la reton.