Keskitin vai yhdyskäytävä? Missä VPN:n päätelaite sijaitsee polullasi

Kaksi toimittajaa voi kutsua samaa laitetta keskittimeksi ja yhdyskäytäväksi, eikä kumpikaan sana kerro, missä liikenne puretaan. Nimet kuvaavat käyttöönoton rooleja eivätkä protokollia, ja roolit menevät limittäin joka suuntaan. Suunnittelukatsauksessa ratkaisee laite, joka päättää tunnelin, sen ympärillä olevat valvontakeinot ja polku, jonka purettu pyyntö kulkee. Päätä näiden kolmen perusteella, ja datalehden substantiivi lakkaa olemasta argumentti.

Kaksi nimeä, yksi päätös

Keskitin tarkoittaa yleensä keskusjärjestelmää, joka vastaanottaa ja hallitsee monta yhteyttä kerralla, ja sanaan liittyy mielikuva mittakaavasta. Yhdyskäytävä on laajempi termi päätepisteelle, joka liittää tunnelin sen takana oleviin verkkoihin, ja se voi kuvata reititintä, palomuuria tai hallittua palvelua. Kumpikaan sana ei nimeä protokollaa eikä lupaa tiettyä ominaisuusjoukkoa. Sama laite voidaan myydä molemmilla nimillä kahden toimittajan toimesta, ja siksi terminologiaväittely ei koskaan ratkea.

Käsittele nimeä vihjeenä aiotusta käytöstä äläkä minään muuna. Päätös kuuluu toiminnoille, jotka voit varmistaa kokoonpanosta, ei esitteen sanoille.

Etsi laite, joka todella päättää tunnelin

Seuraa asiakasyhteyttä ulkoa sisään. Jokin ottaa vastaan kuljetuksen, jokin todentaa vastapuolen, jokin antaa asiakkaalle osoitteen, jokin valtuuttaa kohteen ja jokin tarjoaa paluureitin. Nämä viisi toimintoa voivat olla yhdessä laitteessa tai viidessä, ja ainoa hyödyllinen kysymys on, mikä laite tekee mitä. Ylempänä oleva reititin voi kuljettaa ulommat paketit purkamatta niitä koskaan, ja juuri siinä tapauksessa topologiakaavio johtaa arvioijan nimeämään väärän laitteen.

Vahvista päättäminen itse ehdokkaassaeikä piirustuksesta. Odotetulla portilla kuunteleva pistoke ja vahvistettu tilamerkintä ovat vahvempi todiste kuin verkkokaavio, ja molempien puuttuminen on vielä vahvempi.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Päätä viiden ominaisuuden, älä tuotenimen perusteella

Viisi ominaisuutta erottaa ehdokkaat, ja jokaiseen voi vastata dokumentaatiosta eikä markkinoinnista. Mitä VPN-rooleja tämä versio tukee, mitä identiteettilähteitä se voi käyttää, minkä välitysalueen se sallii, kuinka paljon kapasiteettia se kestää ja miten se käyttäytyy vikatilanteessa. Pyydä ne viisi kirjallisesti, ja nimestä tulee päätökselle merkityksetön.

Kapasiteetti on ominaisuus, jota keskitin-nimi vihjaa voimakkaimmin, ja se jää useimmin epämääräiseksi. Samanaikaisuusrajat, tunnelikohtainen siirtonopeus ja kokonaissiirtonopeus ovat kolme eri lukua, ja laite voi olla antelias yhdessä ja kitsas toisessa. Korkea käytettävyys on parin eikä kummankaan laitteen ominaisuus, ja se kuuluu palautumiskysymykseen. Mittakaavaa vihjaava nimi ei ole mittakaavan spesifikaatio.

Palautuminen kuuluu samaan keskusteluun. Kysy, miten ylläpitäjä pääsee laitteeseen, kun itse tunneli on rikki, koska kaistan ulkopuolinen reitti on suunnittelupäätös eikä lisävaruste.

Tarkista todisteet ennen nimeä

Nykyistä palvelua pitäisi arvioida tuettujen roolien, identiteettikäytännön, välitysalueen, kapasiteetin ja palautumiskäyttäytymisen perusteella, ja vastausten tulisi olla ominaisia sille versiolle, jonka ottaisit käyttöön. Historiallinen katsaus voi selittää, miksi sana keskitin on olemassa, mutta se ei voi kertoa, mitä nykyinen versio tukee.Cisco VPN -yleiskatsauson juuri siksi hyödyllinen terminologinen konteksti, ja sen käsitteleminen nykyisenä ominaisuusluettelona on se tapa, jolla suunnittelukatsaus menee pieleen.

Varmista sitten yksi väite päästä päähän. Valitse ominaisuus, jolla on eniten merkitystä, kuten tunnelikohtainen siirtonopeus tai siirtymisaika, ja kysy mittausmenetelmää lukeman sijaan. Nopea paikallinen tarkistus siitä, mitä laite todella näyttää, on kohtuullinen alku.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linuxissa ensimmäinen rivi laskee tietoturvayhteydet, ja tunnelilla on yleensä kaksi, yksi kumpaankin suuntaan, joten puolita luku ennen kuin vertaat sitä tunneliväitteeseen. strongSwan-isännässä toinen rivi nimeää tunnelit suoraan. Pistokkeiden laskenta ei korvaa sitä: IPsec NAT-T pitää yhtä jaettua UDP 4500 -pistoketta kaikille tunneleille, joten pistokkeiden laskeminen sillä portilla antaa nollan tai yhden, riippumatta tunnelien määrästä. Kumpikaan rivi ei ole siirtonopeuden mittaus eikä kumpikaan ennusta käyttäytymistä kuormituksessa. Ne antavat yksikön, josta kysyä, ja toimittajalla, joka osaa kuvata menetelmän, on spesifikaatio siellä, missä se, joka ei osaa, esite.

Kirjoita polku ylös, niin nimet lakkaavat merkitsemästä

Kuvaa arkkitehtuuri luettelona toiminnoista ja niiden omistajista: päättäminen, todentaminen, osoitteenjakelu, valtuuttaminen, paluureititys, lokitus ja palautuminen. Kuvaus kestää tuotteen uudelleennimeämisen, toimittajan vaihtumisen ja yrityskaupan, eikä mikään niistä päivitä kaaviotasi.

Tarkastele sitä oikeaa asiakasistuntoa vasten kerran neljänneksessä, koska toiminto voi siirtyä ilman, että kukaan muokkaa piirustusta. Nimet muuttuvat edelleen, ja omistajaluettelo on edelleen se, mikä verkon todella selittää.