Miks SSL VPN ja saidi-saidi VPN ei ole vastandid
SSL VPN ja saidi-saidi kirjeldavad erinevaid telgi: kes võrguga liitub ja kuidas tunnel ehitatakse. Mõlema nimetamine korraga on kategooriaviga.
Paluge kahel administraatoril kirjeldada sama VPN-i ja üks võib vastata „SSL VPN“, teine aga „saidi-saidi“, nagu oleksid need kaks võistlevat valikut menüüs. Need on vastused erinevatele küsimustele ja nende alternatiividena käsitlemine tekitab võrdlusi, mida ei saa lahendada. Üks silt ütleb, millised lõpp-punktid ühendatakse; teine ütleb, mis kannab nende vahel liiklust. Hoidke teljed eraldi ja suurem osa vaidlusest kaob.
Kaks silti, kaks eraldi küsimust
Topoloogia vastab, kes millega liitub. Kaugjuurdepääsu lahendus ühendab üksikud kasutajad või seadmed lüüsiga, tavaliselt kasutajapõhise identiteedi ja aadresside vahemikuga. Saidi-saidi lahendus ühendab kaks võrku lüüside kaudu, nii et huvitav identiteet on partnerlüüs, mitte inimene klaviatuuri taga. Need on erinevad käitamisprobleemid, alates aadresside planeerimisest kuni selleni, kes saab kell 2 öösel juurdepääsu tühistada.
Mehhanism vastab, kuidas tunnel ehitatakse ja autenditakse. IPsec koos IKEv2-ga, TLS-il põhinev toode, mis kannab IP-d enda sees, ja brauserile suunatud rakenduseportaal on mehhanismi valikud ning igal neil on oma läbirääkimine, šifrikomplektid ja rikkerežiimid. Ükski neist ei eelda topoloogiat ja topoloogia ei vali mehhanismi.
Pange kaks telge ühte tabelisse ja segadus muutub nähtavaks, sest ruudustiku iga lahtri saab täita. Mida ruudustik teha ei saa, on öelda, millise kombinatsiooni teie tarnija tarnis, kuna tootenimed suruvad mõlemad teljed ühte turundusfraasi.
Kust kategooriaviga tuleb
Tarnijad müüsid aastaid „SSL VPN-i“ kui „IPsec VPN-i“ vastandit, mis pani mehhanismide võrdluse näima topoloogia valikuna. Fraas on ka omadel tingimustel halvasti vananenud, sest tänapäevased lahendused kasutavad toetatud TLS-i versioone ja SSL-i nimi püsib peamiselt tootekategooriana.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Samast kokkusurumisest tuleneb kaks seotud müüti. Esimene on, et IPsec tähendab saidi-saidi; IKEv2 projekteeriti ka kliendi ja lüüsi suhete jaoks, nii et üksik sülearvuti saab IPseciga liituda. Teine on, et TLS-il põhinev toode tähendab ainult kaugjuurdepääsu; OpenVPN kasutatakse rutiinselt liikluse kandmiseks kahe saidi vahel ja selle TLS-i kasutus on koondunud juhtimis- ja autentimisvahetusse, mitte brauseriseanssi.
Kasulik test iga kirjelduse jaoks: kui ühe sõna vahetamine muudab nii lõpp-punkte kui ka protokolli, segab lause telgi. „SSL VPN versus saidi-saidi“ ei läbi seda testi, sest esimene termin nimetab mehhanismide perekonda ja teine topoloogiat.
Kirjeldage juurutust nii, et seda saaks võrrelda
Kirjutage neli välja ja täitke need: lõpp-punktid, mehhanism, autentimine ja juurdepääsupind. Harukontori link võib lugeda IKEv2 lüüsipaarina kahe nimetatud prefiksi vahel sertifikaadi autentimisega ja ilma kasutajatasandi portaalita. Kaugjuurdepääsuteenus võib lugeda TLS-il põhineva kliendina, mis määrab aadressid kasutaja kohta, nõuab sisselogimisel teist tegurit ja avaldab ainult sisemise DNS-tsooni.
Need laused on võrreldavad viisil, mis tootenimedel puudub. Kaht kaugjuurdepääsu lahendust saab mõõta sama kasutaja töövoo ja sama tühistamistee järgi ning kaht saitidevahelist lahendust sama prefiksite loendi, liikluspoliitika ja rikkenõuete järgi. Sildid korraldavad võrdlust; need ei asenda seda.
Terminoloogial on ka avaldatud ankur. IETF-i VPN-terminoloogia dokument eristab mitut teenusemudelit, sealhulgas kaugjuurdepääsu ja saidi-saidi, mehhanismidest, millega neid ehitatakse, ja just see erinevus läheb pidevalt kaduma.
Lugege läbiräägitud protokolli, mitte tootenime
Karbil olev silt ei määra, millega töötav tunnel nõustus. Küsige partnerilt otse TLS-i poolel ja lugege protokolliversiooni ja šifrit, mille käepigistus tekitas, mitte brošüüris olevat versiooni.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec-lüüsi puhul tuleb samaväärne vaatlus rakenduse enda olekuväljundist, mis teavitab kasutatavatest IKE- ja ESP-pakkumistest. Igal juhul on mõte sama: mehhanismitelge tuleb lugeda elavast sessioonist, sest klient ja lüüs võivad läbi rääkida millegi vanema, kui kumbki administraator ootas.
ipsec statusall | grep -E "IKE|ESP"Pärast seda jäävad küsimused, millele ükski silt ei vasta. Milliseid protokolliversioone veel aktsepteeritakse, kuidas lüüsi identiteeti valideeritakse, milline algoritmikomplekt on lubatud, kes volitab antud kasutaja antud ressursile ja mis tühistab juurdepääsu, kui seade kaob. Topoloogiaskeem ja mehhanismi nimi on selle loendi algus, mitte selle asendus.
Hoidke siis kaks silti, kuid kasutage neid selleks, mis nad on: lühike viis öelda, millised lõpp-punktid ühendatakse ja kuidas tunnel ehitatakse. Hetkel, mil üht kasutatakse teise välistamiseks, on kirjeldus lakanud midagi kirjeldamast.