Kontsentraator või lüüs? Kus asub VPN-i lõpetaja sinu teekonnal

Kaks tarnijat võivad sama seadet nimetada kontsentraatoriks ja lüüsiks ning kumbki sõna ei ütle sulle, kus liiklus dekrüpteeritakse. Sildid kirjeldavad juurutusrolle, mitte protokolle, ja rollid kattuvad igas suunas. Disainiarvustuse jaoks on oluline seade, mis tunnelit lõpetab, selle ümber olevad juhtimisvahendid ja tee, mille dekrüpteeritud päring läbib. Otsusta nende kolme põhjal ja andmelehe nimisõna lakkab olemast argument.

Kaks silti, üks otsus

Kontsentraator tähendab tavaliselt keskseadet, mis võtab vastu ja haldab paljusid ühendusi korraga, ning sõna kannab vihjet mastaabile. Lüüs on laiem mõiste lõpp-punkti kohta, mis ühendab tunnelit selle taga olevate võrkudega, ja see võib kirjeldada ruuterit, tulemüüri või hallatavat teenust. Kumbki sõna ei nimeta protokolli ega tõota kindlat funktsioonide kogumit. Sama seadet võivad kaks tarnijat müüa mõlema nime all ja seetõttu ei lahene terminoloogiavaidlus kunagi.

Käsitle silti vihjena kavandatud kasutuse kohta ega millegi enama kohta. Otsus kuulub funktsioonidele, mida saad konfiguratsioonis kontrollida, mitte brošüüri sõnadele.

Leia seade, mis tegelikult lõpetab

Jälgi kliendiühendust väljast sisse. Midagi võtab transpordi vastu, midagi autendib vastaspoole, midagi määrab kliendile aadressi, midagi volitab sihtkoha ja midagi pakub tagasitee. Need viis funktsiooni võivad asuda ühes seadmes või viies, ja ainus kasulik küsimus on, milline seade mida teeb. Ülesvoolu ruuter võib kanda väliseid pakette ilma neid kunagi dekrüpteerimata, ja täpselt see on juhtum, kus topoloogiaskeem viib arvustaja vale seadet nimetama.

Kinnita lõpetamine kandidaadi enda pealmitte jooniselt. Oodataval pordil kuulav pesa koos kinnitatud olekukirjega on tugevam tõend kui võrguskeem, ja mõlema puudumine on veelgi tugevam.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Otsusta viie omaduse, mitte tootenime järgi

Viis omadust eristavad kandidaate ja igaühele saab vastata dokumentatsioonist, mitte turundusest. Milliseid VPN-i rolle see versioon toetab, milliseid identiteediallikaid saab kasutada, millist edastusulatust lubab, millist võimsust talub ja kuidas käitub rikke korral. Küsi need viis kirjalikult ja silt muutub otsuse jaoks ebaoluliseks.

Võimsus on omadus, millele kontsentraatori silt kõige tugevamalt vihjab, ja see jääb kõige sagedamini ebamääraseks. Samaaegsuse piirid, läbilaskevõime tunneli kohta ja kogu läbilaskevõime on kolm erinevat arvu ning seade võib olla ühes helde ja teises ihne. Kõrge käideldavus on paari, mitte kummagi seadme omadus ja kuulub taastamise küsimuse juurde. Mastaabile vihjav silt ei ole mastaabi spetsifikatsioon.

Taaste kuulub samasse vestlusesse. Küsi, kuidas administraator seadmeni jõuab, kui tunnel ise on katkine komponent, sest ribaväline tee on disainiotsus, mitte lisaseade.

Kontrolli tõendeid enne silti

Praegust teenust tuleks hinnata toetatud rollide, identiteedipoliitika, edastusulatuse, võimsuse ja taastamiskäitumise järgi ning vastused peaksid olema spetsiifilised selle versiooni kohta, mida juurutaksid. Ajalooline ülevaade võib selgitada, miks sõna kontsentraator olemas on, kuid ei saa öelda, mida praegune versioon toetab.Cisco VPN-i ülevaadeon just sel põhjusel kasulik terminoloogiline kontekst, ja selle käsitlemine praeguse funktsioonide loendina on viis, kuidas disainiarvustus untsu läheb.

Seejärel kontrolli üht väidet otsast lõpuni. Vali omadus, mis kõige rohkem loeb, näiteks läbilaskevõime tunneli kohta või ümberlülituse aeg, ja küsi mõõtmismeetodit, mitte arvu. Kiire kohalik kontroll selle üle, mida seade tegelikult näitab, on mõistlik algus.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linuxis loeb esimene rida turbeseoseid ja tunnelil on tavaliselt kaks, üks kummaski suunas, seega jaga arv pooleks enne, kui võrdled seda tunneli väitega. strongSwan-i hostis nimetab teine rida tunnelid otse. Pesade loendamine ei asenda seda: IPsec NAT-T hoiab ühte ühist UDP 4500 pesa kõigi tunnelite jaoks, seega pesade loendamine sellel pordil annab null või üks, ükskõik kui palju tunneleid on. Kumbki rida ei ole läbilaskevõime mõõtmine ja kumbki ei ennusta käitumist koormuse all. Nad annavad sulle ühiku, mille kohta küsida, ja tarnijal, kes oskab meetodit kirjeldada, on spetsifikatsioon seal, kus see, kes ei oska, on brošüür.

Kirjuta tee üles ja sildid lakkavad loomast

Kirjelda arhitektuuri funktsioonide loendina koos omanikega: lõpetamine, autentimine, aadresside määramine, volitamine, tagasisuunaline marsruutimine, logimine ja taaste. See kirjeldus elab üle toote ümbernimetamise, tarnija vahetuse ja ülevõtmise ning ükski neist ei uuenda sinu skeemi.

Vaata see üle tõelise kliendiseansi vastu kord kvartalis, sest funktsioon võib liikuda ilma, et keegi joonist muudaks. Sildid muutuvad edasi ja omanike loend jääb edasi selleks, mis võrku tegelikult seletab.