Concentrador ou pasarela? Onde está o terminador VPN no teu camiño

Dous provedores poden chamar concentrador e pasarela ao mesmo equipo, e ningunha das dúas palabras che dirá onde se descifra o tráfico. As etiquetas describen roles de despregue e non protocolos, e os roles solápanse en todas as direccións. O que importa nunha revisión de deseño é o dispositivo que termina o túnel, os controis ao seu redor e a ruta que segue unha petición descifrada. Decide a partir deses tres elementos e o substantivo da folla de datos deixa de ser un argumento.

Dúas etiquetas, unha decisión

Un concentrador adoita designar o sistema central que recibe e xestiona moitas conexións á vez, e a palabra leva unha implicación de escala. Unha pasarela é o termo máis amplo para un extremo que une un túnel coas redes que ten detrás, e pode describir un encamiñador, unha devasa ou un servizo xestionado. Ningunha das dúas palabras nomea un protocolo nin promete un conxunto de funcións concreto. Un mesmo dispositivo pode venderse con ambos nomes por parte de dous provedores, e por iso a discusión sobre a terminoloxía nunca se resolve.

Trata a etiqueta como unha pista sobre o uso previsto e nada máis. A decisión pertence ás funcións que podes verificar na configuración, non ás palabras do folleto.

Atopa o dispositivo que realmente termina o túnel

Segue unha conexión de cliente de fóra cara a dentro. Algo acepta o transporte, algo autentica o par, algo asigna un enderezo ao cliente, algo autoriza un destino e algo proporciona unha ruta de volta. Esas cinco funcións poden vivir nun só dispositivo ou en cinco, e a única pregunta útil é que dispositivo fai cada unha. Un encamiñador augas arriba pode transportar os paquetes externos sen descifralos nunca, e ese é exactamente o caso en que un diagrama de topoloxía leva o revisor a nomear o equipo equivocado.

Confirma a terminación no propio candidatoe non a partir do debuxo. Un socket á escoita no porto esperado xunto cunha entrada de estado establecida é unha proba máis sólida que un diagrama de rede, e a ausencia de ambas aínda o é máis.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Decide por cinco propiedades, non polo nome do produto

Cinco propiedades separan os candidatos, e cada unha pódese responder desde a documentación e non desde o márketing. Que roles de VPN admite esta versión, que fontes de identidade pode usar, que alcance de reenvío permite, que capacidade sostén e como se comporta ante un fallo. Pide esas cinco por escrito e a etiqueta vólvese irrelevante para a decisión.

A capacidade é a propiedade que a etiqueta de concentrador implica con máis forza, e é a que máis a miúdo queda imprecisa. Os límites de concorrencia, o caudal por túnel e o caudal total son tres cifras distintas, e un dispositivo pode ser xeneroso nunha e escaso noutra. A alta dispoñibilidade é unha propiedade do par e non de ningún dos equipos, e pertence á pregunta de recuperación. Unha etiqueta que suxire escala non é unha especificación de escala.

A recuperación forma parte da mesma conversa. Pregunta como chega o administrador ao dispositivo cando o túnel mesmo é o compoñente avariado, porque unha ruta fóra de banda é unha decisión de deseño e non un accesorio.

Revisa as probas antes da etiqueta

Un servizo actual debe avaliarse polos roles admitidos, a política de identidade, o alcance de reenvío, a capacidade e o comportamento de recuperación, con respostas específicas para a versión que despregarías. Unha visión xeral histórica pode explicar por que existe a palabra concentrador, pero non pode dicirche que admite unha versión actual.Visión xeral de Cisco VPNé un contexto terminolóxico útil precisamente por iso, e tratala como unha lista de funcións actual é como unha revisión de deseño acaba mal.

Despois verifica unha afirmación de extremo a extremo. Escolle a propiedade que máis importe, como o caudal por túnel ou o tempo de conmutación, e pide o método de medición en lugar da cifra. Unha comprobación local rápida do que o dispositivo expón realmente é un comezo razoable.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

En Linux a primeira liña conta asociacións de seguridade, e un túnel normalmente ten dúas, unha por dirección, así que divide a conta por dous antes de comparala cunha afirmación sobre túneles. Nun host con strongSwan a segunda liña nomea os túneles directamente. A conta de sockets non é un substituto: IPsec NAT-T mantén un único socket UDP 4500 compartido por todos os túneles, así que contar sockets nese porto devolve cero ou un, por moitos túneles que existan. Ningunha das dúas liñas é unha medición de caudal e ningunha predí o comportamento baixo carga. O que che dan é a unidade pola que preguntar, e un provedor que sabe describir o método ten unha especificación onde un que non sabe ten un folleto.

Escribe a ruta e as etiquetas deixan de importar

Describe a arquitectura como unha lista de funcións con responsables: terminación, autenticación, asignación de enderezos, autorización, encamiñamento de volta, rexistro e recuperación. Esa descrición sobrevive a un cambio de nome de produto, a un cambio de provedor e a unha adquisición, e ningún deles actualizará o teu diagrama.

Revísaa contra unha sesión de cliente real unha vez por trimestre, porque unha función pode moverse sen que ninguén edite o debuxo. As etiquetas seguirán cambiando, e a lista de responsables seguirá sendo o que realmente explica a rede.