Comment choisir des passerelles VPN entre sites qui interopèrent

Deux passerelles de site de fournisseurs différents formeront un tunnel si leurs implémentations s’accordent sur les paramètres négociés. Des marques identiques ne sont pas une condition, et des marques assorties ne sont pas non plus une garantie. La question de compatibilité porte sur les fonctions et les versions; la question de capacité porte sur le travail que l’appareil doit fournir en logiciel. Traitez-les comme deux vérifications, exactement dans cet ordre.

Parcourez la liste et arrêtez-vous au premier point qui n’a pas de réponse.

Partez des fonctions du protocole, pas de la marque

Pour le protocole que vous comptez exploiter, listez ce dont la conception a besoin: la méthode d’authentification, les propositions de chiffrement et d’intégrité convenues, l’interface ou la construction de trafic protégé, le mode de routage et le fait qu’un côté ou l’autre se trouve derrière NAT. Chacune est une fonction que l’implémentation doit prendre en charge, pas une case à cocher sur une page produit.

Les exigences de passerelle client d’AWS constituent un modèle utile même si vous ne vous connectez pas à AWS, parce qu’elles énoncent le contrat comme un ensemble d’obligations de protocole et de routage. Un fichier d’exemple de fournisseur pour un modèle précis est une preuve correcte que quelqu’un a testé cette combinaison. Une étiquette générique revendiquant la prise en charge d’IPsec ne prouve ni la version ni le modèle de politique. Lisez les notes de version plutôt que le résumé marketing.

Vérifiez la version, pas l’étiquette de la fiche technique

L’interopérabilité d’IKEv2 se décide sur les paramètres négociés, donc la question est de savoir quelles propositions le micrologiciel actuel offre et accepte. Un appareil qui prend en charge le protocole en général peut néanmoins refuser la combinaison précise qu’exige votre autre extrémité. Confirmez la chaîne de version et la liste des propositions des deux côtés.

Une note indiquant qu’une fonction est arrivée dans une série de micrologiciels ultérieure est assez courante pour mériter son propre point dans la liste de vérification.

Traitez la capacité comme une question distincte

Le chiffrement coûte du travail, et combien dépend de l’implémentation autant que de l’algorithme. Certains chemins d’accélération ne s’appliquent qu’à des algorithmes particuliers ou à des chemins de transfert particuliers, si bien qu’un appareil peut être rapide dans une configuration et lent dans une autre. Le débit WAN ordinaire n’est pas le débit d’un tunnel chiffré. Dimensionnez l’appareil en fonction du trafic que vous protégerez réellement.

La taille des paquets compte aussi, car l’encapsulation et toute surcharge supplémentaire réduisent la charge utile que transporte chaque paquet.

Décidez la politique de routage explicitement

De site à site ne signifie pas que seul le trafic sélectionné peut utiliser le tunnel, ni que tout doit y passer. Une conception peut transporter des préfixes privés précis, ou router une route par défaut par la passerelle. Choisissez-en une et écrivez-la, car les deux extrémités doivent s’accorder sur ce qui est annoncé et ce qui est accepté. Un désaccord ici produit un tunnel qui est monté et un réseau à moitié joignable.

Les conceptions à routage dynamique ajoutent une exigence de plus: prise en charge du protocole de routage aux deux extrémités.

Que comparer avant d’acheter

Comparez la cadence des mises à jour, les preuves d’interopérabilité, la restauration de la configuration et le comportement de bascule prévu en regard du débit de transfert de pointe. Demandez ce qui se passe lorsque l’appareil redémarre avec une configuration obsolète. Demandez si le fournisseur publie une liste d’interopérabilité pour le pair exact que vous comptez utiliser. Demandez qui porte la responsabilité du changement lorsqu’une mise à jour de micrologiciel modifie une proposition par défaut.

Une garantie matérielle ne répond à aucune de ces questions.

Testez ensuite la paire avant de vous engager sur un parc. Un tunnel, les vraies propositions, le vrai mode de routage et un transfert proche de la charge de travail vous en diront plus que n’importe quel tableau de spécifications.