Como escoller pasarelas VPN de sitio a sitio que interoperan

Dúas pasarelas de sitio de provedores distintos formarán un túnel se as súas implementacións coinciden nos parámetros que se negocian. As marcas idénticas non son un requisito, e as marcas coincidentes tampouco son unha garantía. A cuestión de compatibilidade trata de funcións e versións; a cuestión de capacidade trata do traballo que o equipo debe facer en software. Tráteas como dúas comprobacións, exactamente nesa orde.

Percorra a lista e detéñase no primeiro punto que non teña resposta.

Comece polas funcións do protocolo, non pola marca

Para o protocolo que pensa executar, enumere o que necesita o deseño: o método de autenticación, as propostas de cifrado e integridade acordadas, a interface ou a construción de tráfico protexido, o modo de enrutamento e se algún dos extremos está detrás de NAT. Cada unha é unha función que a implementación debe admitir, non unha casilla na páxina dun produto.

Os requisitos de pasarela de cliente de AWS son un modelo útil aínda que non se conecte a AWS, porque enuncian o contrato como un conxunto de obrigas de protocolo e enrutamento. Un ficheiro de mostra do provedor para un modelo concreto é unha proba decente de que alguén probou esa combinación. Unha etiqueta xenérica que afirma compatibilidade con IPsec non demostra nin a versión nin o modelo de política. Lea as notas da versión en lugar do resumo de mercadotecnia.

Comprobe a versión, non a etiqueta da ficha técnica

A interoperabilidade de IKEv2 decídese polos parámetros negociados, así que a pregunta é que propostas ofrece e acepta o firmware actual. Un equipo que admite o protocolo en xeral aínda pode rexeitar a combinación concreta que esixe o seu outro extremo. Confirme a cadea de versión e a lista de propostas nos dous extremos.

Unha nota de que unha función chegou nunha quenda de firmware posterior é abondo común para merecer o seu propio punto na lista de comprobación.

Trate a capacidade como unha cuestión aparte

O cifrado custa traballo, e canto depende da implementación tanto como do algoritmo. Algunhas vías de aceleración só se aplican a algoritmos concretos ou a rutas de reenvío concretas, así que un equipo pode ser rápido nunha configuración e lento noutra. O rendemento normal dunha WAN non é o rendemento dun túnel cifrado. Dimensione o equipo segundo o tráfico que realmente protexerá.

O tamaño de paquete tamén importa, porque a encapsulación e calquera sobrecarga adicional reducen a carga útil que transporta cada paquete.

Decida a política de enrutamento de forma explícita

De sitio a sitio non significa que só o tráfico seleccionado poida usar o túnel, nin significa que todo deba facelo. Un deseño pode transportar prefixos privados concretos ou enrutar unha ruta por defecto a través da pasarela. Escolla unha e escríbaa, porque os dous extremos deben acordar o que se anuncia e o que se acepta. Un desaxuste aquí produce un túnel levantado e unha rede medio alcanzable.

Os deseños con enrutamento dinámico engaden outro requisito: compatibilidade do protocolo de enrutamento nos dous extremos.

Que comparar antes de comprar

Compare a cadencia de actualizacións, as probas de interoperabilidade, a recuperación da configuración e o comportamento de conmutación previsto xunto coa velocidade punta de transferencia. Pregunte que ocorre cando o equipo se reinicia cunha configuración obsoleta. Pregunte se o provedor publica unha lista de interoperabilidade para o par exacto que pensa usar. Pregunte quen é responsable do cambio cando unha actualización de firmware altera unha proposta por defecto.

Unha garantía de hardware non responde a ningunha desas preguntas.

Despois probe a parella antes de comprometerse cunha frota. Un túnel, as propostas reais, o modo de enrutamento real e unha transferencia semellante á carga de traballo diralle máis que calquera táboa de especificacións.