تمرکزدهنده یا دروازه؟ نقطه پایانی VPN در مسیر شما کجاست
تمرکزدهنده و دروازه نقش‌های استقرار را توصیف می‌کنند، نه پروتکل‌ها. نقطه پایانی را پیدا کنید و سپس هویت، دامنه ارسال، ظرفیت و بازیابی را بررسی کنید.
دو فروشنده می‌توانند یک دستگاه را هم تمرکزدهنده و هم دروازه بنامند و هیچ‌یک از این دو واژه به شما نمی‌گوید ترافیک کجا رمزگشایی می‌شود. برچسب‌ها نقش‌های استقرار را توصیف می‌کنند نه پروتکل‌ها و نقش‌ها در هر جهت همپوشانی دارند. آنچه در بازبینی طراحی اهمیت دارد دستگاه پایانه تونل، کنترل‌های پیرامون آن و مسیری است که یک درخواست رمزگشایی‌شده طی می‌کند. بر پایه این سه تصمیم بگیرید تا اسم روی برگه داده از بحث بیرون برود.
دو برچسب، یک تصمیم
تمرکزدهنده معمولاً به سامانه مرکزی گفته می‌شود که هم‌زمان اتصال‌های زیادی را می‌پذیرد و مدیریت می‌کند و این واژه دلالت بر مقیاس دارد. دروازه اصطلاح گسترده‌تری برای نقطه‌ای است که تونل را به شبکه‌های پشت آن پیوند می‌دهد و می‌تواند مسیریاب، دیوار آتش یا سرویس مدیریت‌شده را توصیف کند. هیچ‌یک از دو واژه نام پروتکل را نمی‌برد و هیچ‌یک مجموعه ویژگی مشخصی را وعده نمی‌دهد. یک دستگاه می‌تواند از سوی دو فروشنده با هر دو نام فروخته شود و به همین دلیل بحث اصطلاح‌شناسی هرگز حل نمی‌شود.
برچسب را فقط نشانه‌ای از کاربرد موردنظر بدانید و نه بیشتر. تصمیم به کارکردهایی تعلق دارد که می‌توانید در پیکربندی بررسی کنید، نه به واژه‌های بروشور.
دستگاهی را پیدا کنید که واقعاً تونل را پایان می‌دهد
یک اتصال کارخواه را از بیرون به درون دنبال کنید. چیزی انتقال را می‌پذیرد، چیزی همتا را احراز هویت می‌کند، چیزی به کارخواه نشانی می‌دهد، چیزی مقصد را مجاز می‌کند و چیزی مسیر بازگشت را فراهم می‌کند. این پنج کارکرد می‌توانند روی یک دستگاه یا روی پنج دستگاه باشند و تنها پرسش سودمند این است که کدام دستگاه چه کاری می‌کند. یک مسیریاب بالادست می‌تواند بسته‌های بیرونی را بدون هیچ رمزگشایی منتقل کند و دقیقاً همین جاست که نمودار توپولوژی بازبین را به نام بردن دستگاه نادرست می‌کشاند.
پایان‌پذیری را روی خود نامزد تأیید کنیدنه از روی نقشه. یک سوکت شنود روی درگاه مورد انتظار همراه با یک ورودی وضعیت برقرارشده شواهد قوی‌تری از نمودار شبکه است و نبود هر دو حتی قوی‌تر.
sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.comبا پنج ویژگی تصمیم بگیرید، نه با نام محصول
پنج ویژگی نامزدها را از هم جدا می‌کند و پاسخ هر یک را می‌توان از مستندات گرفت نه از بازاریابی. این نسخه از کدام نقش‌های VPN پشتیبانی می‌کند، از کدام منابع هویت می‌تواند استفاده کند، چه دامنه ارسالی را مجاز می‌داند، چه ظرفیتی را تحمل می‌کند و در برابر خرابی چگونه رفتار می‌کند. این پنج مورد را کتبی بخواهید تا برچسب برای تصمیم بی‌اهمیت شود.
ظرفیت ویژگی‌ای است که برچسب تمرکزدهنده بیشترین دلالت را بر آن دارد و همان است که بیشتر مبهم می‌ماند. محدودیت هم‌زمانی، گذردهی هر تونل و گذردهی کل سه عدد متفاوت‌اند و یک دستگاه می‌تواند در یکی سخاوتمند و در دیگری خسیس باشد. دسترس‌پذیری بالا ویژگی جفت است نه هیچ‌یک از دو دستگاه و جای آن در پرسش بازیابی است. برچسبی که دلالت بر مقیاس دارد مشخصه مقیاس نیست.
بازیابی بخشی از همان گفت‌وگوست. بپرسید مدیر وقتی خود تونل جزء خراب است چگونه به دستگاه می‌رسد، زیرا مسیر بیرون‌باند یک تصمیم طراحی است نه یک لوازم جانبی.
شواهد را پیش از برچسب بررسی کنید
خدمت امروزی را باید بر پایه نقش‌های پشتیبانی‌شده، سیاست هویت، دامنه ارسال، ظرفیت و رفتار بازیابی ارزیابی کرد و پاسخ‌ها باید ویژه نسخه‌ای باشد که مستقر می‌کنید. یک مرور تاریخی می‌تواند توضیح دهد چرا واژه تمرکزدهنده وجود دارد، اما نمی‌تواند بگوید یک نسخه کنونی از چه چیزی پشتیبانی می‌کند.مرور کلی Cisco VPNدقیقاً به همین دلیل زمینه اصطلاحی سودمندی است و برخورد با آن به‌عنوان فهرست ویژگی‌های کنونی همان چیزی است که بازبینی طراحی را به بیراهه می‌برد.
سپس یک ادعا را سرتاسر بررسی کنید. ویژگی‌ای را انتخاب کنید که بیشترین اهمیت را دارد، مانند گذردهی هر تونل یا زمان جابه‌جایی، و روش اندازه‌گیری را بخواهید نه عدد را. یک بررسی محلی سریع از آنچه دستگاه واقعاً آشکار می‌کند آغاز معقولی است.
sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sasدر Linux خط اول انجمن‌های امنیتی را می‌شمارد و یک تونل معمولاً دو مورد دارد، یکی برای هر جهت، پس عدد را پیش از مقایسه با ادعای تونل نصف کنید. روی میزبان strongSwan خط دوم تونل‌ها را مستقیماً نام می‌برد. شمارش سوکت جایگزین آن نیست: IPsec NAT-T یک سوکت مشترک UDP 4500 را برای همه تونل‌ها نگه می‌دارد، بنابراین شمارش سوکت‌ها روی آن درگاه صفر یا یک برمی‌گرداند، هر تعداد تونل که باشد. هیچ‌یک از دو خط اندازه‌گیری گذردهی نیست و هیچ‌یک رفتار زیر بار را پیش‌بینی نمی‌کند. آنچه می‌دهند واحدی است که باید درباره آن بپرسید و فروشنده‌ای که می‌تواند روش را توصیف کند مشخصه دارد، جایی که آن که نمی‌تواند بروشور دارد.
مسیر را بنویسید تا برچسب‌ها بی‌اهمیت شوند
معماری را فهرستی از کارکردها با صاحبانشان توصیف کنید: پایان‌دهی، احراز هویت، تخصیص نشانی، مجوزدهی، مسیریابی بازگشت، ثبت رویداد و بازیابی. این توصیف از تغییر نام محصول، تغییر فروشنده و خرید شرکت جان سالم به در می‌برد و هیچ‌یک از آن‌ها نمودار شما را به‌روز نمی‌کند.
هر سه ماه یک بار آن را با یک نشست واقعی کارخواه بازبینی کنید، زیرا یک کارکرد می‌تواند جابه‌جا شود بی‌آنکه کسی نقشه را ویرایش کند. برچسب‌ها همچنان تغییر می‌کنند و فهرست صاحبان همچنان چیزی خواهد بود که شبکه را واقعاً توضیح می‌دهد.