Kial SSL VPN kaj VPN de loko al loko ne estas kontraŭoj
SSL VPN kaj VPN de loko al loko priskribas malsamajn aksojn: kiu aliĝas al la reto kaj kiel la tunelo estas konstruata. Nomante ambaŭ kune oni faras kategorian eraron.
Petu du administrantojn priskribi la saman VPN, kaj unu eble respondos «SSL VPN», dum la alia diros «de loko al loko», kvazaŭ la du estus rivalaj elektoj en menuo. Ili estas respondoj al malsamaj demandoj, kaj trakti ilin kiel alternativojn produktas komparojn, kiujn oni ne povas solvi. Unu etikedo diras, kiuj finpunktoj estas kunligataj; la alia diras, kio portas la trafikon inter ili. Tenu la aksojn aparte, kaj la plej granda parto de la argumento malaperos.
Du etikedoj, du apartaj demandoj
Topologio respondas, kiu aliĝas al kio. Dezajno de fora aliro alfiksas unuopajn uzantojn aŭ aparatojn al enirejo, kutime kun identeco por uzanto kaj naĝejo de adresoj. Dezajno de loko al loko kunligas du retojn per enirejoj, do la interesa identeco estas la partnera enirejo, ne la persono ĉe klavaro. Tiuj estas malsamaj operaciaj problemoj, de adresplanado ĝis tio, kiu povas revoki aliron je la 2-a matene.
Mekanismo respondas, kiel la tunelo estas konstruata kaj aŭtentikigata. IPsec kun IKEv2, TLS-baza produkto, kiu portas IP ene de si, kaj retumil-orienta aplikaĵa portalo estas mekanismaj elektoj, kaj ĉiu havas sian propran traktadon, ĉifrajn arojn kaj fiaskmanierojn. Neniu el ili implicas topologion, kaj topologio ne elektas mekanismon.
Metu la du aksojn en unu tabelon kaj la konfuzo fariĝas videbla, ĉar ĉiu ĉelo de la krado povas esti plenigita. Kion la krado ne povas fari, estas diri al vi, kiun kombinaĵon liveris via vendisto, ĉar produktaĵnomoj kunfandas ambaŭ aksojn en unu merkatan frazon.
De kie venas la kategoria eraro
Vendistoj jarojn vendis «SSL VPN» kiel la malon de «IPsec VPN», kio igis mekanisman komparon aspekti kiel topologia elekto. La frazo ankaŭ malbone maljuniĝis laŭ siaj propraj kondiĉoj, ĉar nunaj dezajnoj uzas subtenatajn TLS-versiojn kaj la nomo SSL pluvivas ĉefe kiel produkta kategorio.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Du rilataj mitoj sekvas el la sama kunfando. La unua estas, ke IPsec signifas de loko al loko; IKEv2 estis dizajnita ankaŭ por rilatoj kliento-al-enirejo, do unuopa tekkomputilo povas aliĝi per IPsec. La dua estas, ke TLS-baza produkto signifas nur foran aliron; OpenVPN estas rutine uzata por porti trafikon inter du lokoj, kaj ĝia uzo de TLS koncentriĝas en la interŝanĝo de regado kaj aŭtentikigo, ne en retumila seanco.
Utila testo por iu ajn priskribo: se anstataŭigi unu vorton ŝanĝas kaj la finpunktojn kaj la protokolon, la frazo miksas la aksojn. «SSL VPN kontraŭ de loko al loko» malsukcesas tiun teston, ĉar la unua termino nomas mekanisman familion kaj la dua nomas topologion.
Priskribu enkondukon tiel, ke ĝi estu komparebla
Skribu kvar kampojn kaj plenigu ilin: finpunktoj, mekanismo, aŭtentikigo kaj alirsurfaco. Filia ligo povus legiĝi kiel paro de IKEv2-enirejoj inter du nomitaj prefiksoj kun atestila aŭtentikigo kaj sen portalo ĉe uzanta nivelo. Fora alirservo povus legiĝi kiel TLS-baza kliento, kiu atribuas adresojn por uzanto, postulas duan faktoron ĉe ensaluto kaj publikigas nur internan DNS-zonon.
Tiuj frazoj estas kompareblaj tiel, kiel produktaĵnomoj ne estas. Du dezajnoj de fora aliro povas esti mezuritaj laŭ la sama uzanta laborfluo kaj la sama revoka vojo, kaj du interlokaj dezajnoj laŭ la sama prefiksa listo, trafika politiko kaj fiaskpostuloj. La etikedoj organizas la komparon; ili ne anstataŭigas ĝin.
La terminologio ankaŭ havas publikigitan ankron. La dokumento de IETF pri VPN-terminologio apartigas plurajn servomodelojn, inkluzive foran aliron kaj de loko al loko, de la mekanismoj uzataj por konstrui ilin, kaj tio estas ĝuste la distingo, kiu daŭre perdiĝas.
Legu la traktitan protokolon, ne la produktaĵnomon
La etikedo sur la skatolo ne establas, pri kio interkonsentis funkcianta tunelo. Demandu la partneron rekte, ĉe la TLS-flanko, kaj legu la protokolversion kaj ĉifron, kiujn produktis la manpremo, anstataŭ la version en la broŝuro.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefPor IPsec-enirejo la ekvivalenta observo venas el la propra statuseligo de la efektivigo, kiu raportas la uzatajn IKE- kaj ESP-proponojn. Ĉiel ajn, la punkto estas la sama: la mekanisma akso devas esti legata el la viva seanco, ĉar kliento kaj enirejo povas trakti malsupren al io pli malnova, ol iu ajn administranto atendis.
ipsec statusall | grep -E "IKE|ESP"Post tio, la restantaj demandoj estas tiuj, kiujn neniu etikedo respondas. Kiuj protokolversioj ankoraŭ akceptiĝas, kiel validiĝas la identeco de la enirejo, kiu algoritma aro estas permesata, kiu rajtigas donitan uzanton por donita rimedo, kaj kio revokas aliron kiam aparato perdiĝas. Topologia diagramo kaj mekanisma nomo estas la komenco de tiu listo, ne ĝia anstataŭaĵo.
Tenu do la du etikedojn, sed uzu ilin por tio, kio ili estas: mallonga maniero diri, kiuj finpunktoj estas kunligataj kaj kiel la tunelo estas konstruata. En la momento, kiam unu estas uzata por ekskludi la alian, la priskribo jam ĉesis priskribi ion ajn.