Cómo elegir pasarelas VPN de sitio a sitio que interoperan

Dos pasarelas de sitio de proveedores distintos formarán un túnel si sus implementaciones coinciden en los parámetros que se negocian. Las marcas idénticas no son un requisito, y las marcas coincidentes tampoco son una garantía. La cuestión de compatibilidad trata de funciones y versiones; la cuestión de capacidad trata del trabajo que el equipo debe hacer por software. Trátelas como dos comprobaciones, exactamente en ese orden.

Recorra la lista y deténgase en el primer punto que no tenga respuesta.

Empiece por las funciones del protocolo, no por la marca

Para el protocolo que pretende ejecutar, enumere lo que necesita el diseño: el método de autenticación, las propuestas de cifrado e integridad acordadas, la interfaz o la construcción de tráfico protegido, el modo de enrutamiento y si alguno de los extremos está detrás de NAT. Cada una es una función que la implementación debe admitir, no una casilla en la página de un producto.

Los requisitos de pasarela de cliente de AWS son una plantilla útil aunque no se conecte a AWS, porque enuncian el contrato como un conjunto de obligaciones de protocolo y enrutamiento. Un archivo de muestra del proveedor para un modelo concreto es una prueba decente de que alguien probó esa combinación. Una etiqueta genérica que afirma compatibilidad con IPsec no demuestra ni la versión ni el modelo de política. Lea las notas de la versión en lugar del resumen de marketing.

Compruebe la versión, no la etiqueta de la ficha técnica

La interoperabilidad de IKEv2 se decide por los parámetros negociados, así que la pregunta es qué propuestas ofrece y acepta el firmware actual. Un equipo que admite el protocolo en general todavía puede rechazar la combinación concreta que exige su otro extremo. Confirme la cadena de versión y la lista de propuestas en ambos extremos.

Una nota de que una función llegó en una tanda de firmware posterior es lo bastante común para merecer su propio punto en la lista de comprobación.

Trate la capacidad como una cuestión aparte

El cifrado cuesta trabajo, y cuánto depende de la implementación tanto como del algoritmo. Algunas vías de aceleración solo se aplican a algoritmos concretos o a rutas de reenvío concretas, así que un equipo puede ser rápido en una configuración y lento en otra. El rendimiento normal de una WAN no es el rendimiento de un túnel cifrado. Dimensione el equipo según el tráfico que realmente protegerá.

El tamaño de paquete también importa, porque la encapsulación y cualquier sobrecarga adicional reducen la carga útil que transporta cada paquete.

Decida la política de enrutamiento de forma explícita

De sitio a sitio no significa que solo el tráfico seleccionado pueda usar el túnel, ni significa que todo deba pasar por él. Un diseño puede transportar prefijos privados concretos o encaminar una ruta por defecto a través de la pasarela. Elija una y escríbala, porque ambos extremos deben ponerse de acuerdo sobre lo que se anuncia y lo que se acepta. Un desajuste aquí produce un túnel levantado y una red medio accesible.

Los diseños con enrutamiento dinámico añaden otro requisito: compatibilidad del protocolo de enrutamiento en ambos extremos.

Qué comparar antes de comprar

Compare la cadencia de actualizaciones, las pruebas de interoperabilidad, la recuperación de la configuración y el comportamiento de conmutación previsto junto con la velocidad punta de transferencia. Pregunte qué ocurre cuando el equipo se reinicia con una configuración obsoleta. Pregunte si el proveedor publica una lista de interoperabilidad para el par exacto que piensa usar. Pregunte quién es responsable del cambio cuando una actualización de firmware altera una propuesta por defecto.

Una garantía de hardware no responde a ninguna de esas preguntas.

Después pruebe la pareja antes de comprometerse con una flota. Un túnel, las propuestas reales, el modo de enrutamiento real y una transferencia parecida a la carga de trabajo le dirán más que cualquier tabla de especificaciones.