Zergatik SSL VPN eta gune-to-gune VPN ez diren kontrakoak
SSL VPN eta gune-to-gune VPNek ardatz desberdinak deskribatzen dituzte: nor sartzen den sarean eta nola eraikitzen den tunela. Biak batera izendatzea kategoria-errore bat da.
Eskatu bi administratzaileri VPN bera deskribatzeko; batek «SSL VPN» erantzun dezake, besteak «gune-to-gune» esaten duen bitartean, biak menu bateko aukera lehiakideak balira bezala. Galdera desberdinen erantzunak dira, eta alternatiba gisa tratatzeak ezin konpon daitezkeen konparazioak sortzen ditu. Etiketa batek zein mutur elkartzen diren esaten du; besteak haien artean trafikoa zer daraman. Mantendu ardatzak bereizita eta eztabaidaren zati handi bat desagertuko da.
Bi etiketa, bi galdera bereizi
Topologiak erantzuten du nor zerekin elkartzen den. Urruneko sarbidearen diseinu batek erabiltzaile edo gailu indibidualak atebide batera lotzen ditu, normalean erabiltzaile bakoitzeko identitatearekin eta helbide-multzo batekin. Gune-to-gune diseinu batek bi sare atebideen bidez lotzen ditu, beraz identitate interesgarria atebide kidea da, ez teklatuaren aurrean dagoen pertsona. Eragiketa-arazo desberdinak dira, helbide-plangintzatik hasi eta 2etan gauean nor sarbidea baliogabetu dezakeen arte.
Mekanismoak erantzuten du nola eraikitzen eta autentifikatzen den tunela. IPsec IKEv2rekin, IP bere barruan daraman TLSan oinarritutako produktua, eta nabigatzailera begira dagoen aplikazio-ataria mekanismo-aukerak dira, eta bakoitzak bere negoziazioa, zifratze-multzoak eta hutsegite-moduak ditu. Horietako batek ere ez du topologia bat inplikatzen, eta topologia batek ez du mekanismorik aukeratzen.
Jarri bi ardatzak taula bakarrean eta nahasmena ikusgai bihurtzen da, sarearen gelaxka bakoitza bete daitekeelako. Sareak ezin duena da zure hornitzaileak zein konbinazio eman zuen esatea, produktu-izenek bi ardatzak marketin-esaldi bakarrean biltzen baitituzte.
Nondik dator kategoria-errorea
Hornitzaileek urteetan «SSL VPN» saltzen zuten «IPsec VPN»en kontrako gisa, eta horrek mekanismoen konparazioa topologia-aukerak bezala itxuratzen zuen. Esaldia bere baldintzetan ere gaizki zahartu da, gaur egungo diseinuek onartutako TLS bertsioak erabiltzen dituztelako eta SSL izenak produktu-kategoria gisa irauten duelako batez ere.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Bildura beretik bi mito erlazionatu datoz. Lehena da IPsec-ek gune-to-gune esan nahi duela; IKEv2 bezero-atebide harremanetarako ere diseinatu zen, beraz ordenagailu eramangarri batek IPsec bidez elkartu daiteke. Bigarrena da TLSan oinarritutako produktu batek urruneko sarbidea soilik esan nahi duela; OpenVPN errutinaz erabiltzen da bi guneren arteko trafikoa eramateko, eta bere TLS erabilera kontrol- eta autentifikazio-trukean kontzentratzen da, ez nabigatzaile-saio batean.
Edozein deskribapentzako proba erabilgarria: hitz bat aldatzeak muturrak eta protokoloa biak aldatzen baditu, esaldiak ardatzak nahasten ditu. «SSL VPN gune-to-gunearen aurka» proba horretan huts egiten du, lehen terminoak mekanismo-familia bat izendatzen duelako eta bigarrenak topologia bat.
Deskribatu inplementazio bat konpara dadin
Idatzi lau eremu eta bete itzazu: muturrak, mekanismoa, autentifikazioa eta sarbide-azalera. Adar-lotura bat IKEv2 atebide-pare gisa irakur daiteke, bi aurrizki izendatuen artean, ziurtagiri-autentifikazioarekin eta erabiltzaile-mailako ataririk gabe. Urruneko sarbide-zerbitzu bat TLSan oinarritutako bezero gisa irakur daiteke, erabiltzaile bakoitzeko helbideak esleitzen dituena, saioa hastean bigarren faktorea eskatzen duena eta barneko DNS zona bat soilik argitaratzen duena.
Esaldi horiek konparagarriak dira produktu-izenak ez diren moduan. Urruneko sarbideko bi diseinu erabiltzaile-fluxu beraren eta baliogabetze-bide beraren aurka neur daitezke, eta gune arteko bi diseinu aurrizki-zerrenda beraren, trafiko-politika beraren eta hutsegite-baldintza beren aurka. Etiketek konparazioa antolatzen dute; ez dute ordezkatzen.
Terminologiak argitaratutako aingura bat ere badu. IETFren VPN terminologiari buruzko dokumentua zerbitzu-eredu batzuk bereizten ditu, besteak beste urruneko sarbidea eta gune-to-gune, eraikitzeko erabiltzen diren mekanismoetatik, eta hori da etengabe galtzen den bereizketa zehatza.
Irakurri negoziatutako protokoloa, ez produktuaren izena
Kutxako etiketak ez du ezartzen martxan dagoen tunel batek zertan adostu zuen. Galdetu kideari zuzenean, TLS aldean, eta irakurri eskuko helburuak sortu zituen protokolo-bertsioa eta zifratzea, eskuorriko bertsioaren ordez.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec atebide baten kasuan, baliokide den behaketa inplementazioaren beraren egoera-irteeratik dator, erabiltzen ari diren IKE eta ESP proposamenen berri ematen baitu. Edozein modutan, puntua bera da: mekanismo-ardatza zuzeneko saiotik irakurri behar da, bezero batek eta atebide batek bi administratzaileek espero zutena baino zaharragoa den zerbaitetara negozia baitezakete.
ipsec statusall | grep -E "IKE|ESP"Horren ondoren, geratzen diren galderak etiketarik erantzuten ez dituen horiek dira. Zein protokolo-bertsio onartzen dira oraindik, nola baliozkotzen da atebidearen identitatea, zein algoritmo-multzo da baimendua, nork baimendu erabiltzaile jakin bat baliabide jakin baterako eta zerk baliogabetzen du sarbidea gailu bat galtzen denean. Topologia-diagrama bat eta mekanismo-izen bat zerrenda horren hasiera dira, ez haren ordezkoa.
Mantendu, beraz, bi etiketak, baina erabili diren bezala: muturrak zein elkartzen diren eta tunela nola eraikitzen den esateko modu laburra. Bata bestea baztertzeko erabiltzen den unean, deskribapenak zerbait deskribatzeari utzi dio.