מרכזן או שער? היכן נמצא מסיים ה-VPN בנתיב שלך

שני ספקים יכולים לקרוא לאותו מארז מרכזן ושער, ואף אחת משתי המילים לא תגיד לכם היכן התעבורה מפוענחת. התוויות מתארות תפקידי פריסה ולא פרוטוקולים, והתפקידים חופפים לכל כיוון. מה שחשוב בסקירת תכנון הוא ההתקן שמסיים את המנהרה, הבקרות סביבו והנתיב שבו עוברת בקשה מפוענחת. החליטו לפי שלושת אלה, ושם העצם בגיליון הנתונים מפסיק להיות ויכוח.

שתי תוויות, החלטה אחת

מרכזן מתאר בדרך כלל את המערכת המרכזית שמקבלת ומנהלת חיבורים רבים בו-זמנית, והמילה נושאת רמז של קנה מידה. שער הוא המונח הרחב יותר לנקודת קצה שמחברת מנהרה לרשתות שמאחוריה, והוא יכול לתאר נתב, חומת אש או שירות מנוהל. אף אחת מהמילים לא נוקבת בשם פרוטוקול, ואף אחת לא מבטיחה מערך תכונות מסוים. אותו מכשיר יכול להימכר בשני השמות בידי שני ספקים, ולכן הוויכוח על הטרמינולוגיה לעולם אינו מוכרע.

התייחסו לתווית כרמז לשימוש המיועד ולא יותר מכך. ההחלטה שייכת לתפקודים שאפשר לאמת בתצורה, ולא למילים שבעלון.

מצאו את ההתקן שבאמת מסיים

עקבו אחר חיבור לקוח מבחוץ פנימה. משהו מקבל את התעבורה, משהו מאמת את העמית, משהו מקצה כתובת ללקוח, משהו מאשר יעד, ומשהו מספק נתיב חזרה. חמשת התפקודים האלה יכולים לשבת בהתקן אחד או בחמישה, והשאלה השימושית היחידה היא איזה התקן עושה מה. נתב במעלה הזרם יכול לשאת את החבילות החיצוניות בלי לפענח אותן מעולם, וזה בדיוק המקרה שבו תרשים טופולוגיה מטעה את הסוקר לנקוב בשם המארז הלא נכון.

אשרו את הסיום על המועמד עצמוולא מתוך השרטוט. שקע מאזין בפורט הצפוי יחד עם רשומת מצב מבוססת הם ראיה חזקה יותר מתרשים רשת, והיעדר שניהם חזק אף יותר.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

החליטו לפי חמישה מאפיינים, לא לפי שם המוצר

חמישה מאפיינים מפרידים בין המועמדים, וכל אחד מהם ניתן למענה מתוך התיעוד ולא מתוך השיווק. אילו תפקידי VPN מהדורה זו תומכת, מאילו מקורות זהות היא יכולה להשתמש, איזה היקף העברה היא מתירה, איזו קיבולת היא מחזיקה, וכיצד היא מתנהגת בעת כשל. בקשו את החמישה בכתב והתווית נעשית חסרת חשיבות להחלטה.

קיבולת היא המאפיין שהתווית מרכזן מרמזת עליו בעוצמה הרבה ביותר, והוא זה שנשאר מעורפל בתדירות הגבוהה ביותר. מגבלות במקביליות, תפוקה לכל מנהרה ותפוקה כוללת הם שלושה מספרים שונים, והתקן יכול להיות נדיב באחד וקמצן באחר. זמינות גבוהה היא מאפיין של הזוג ולא של אף אחד מהמארזים, והיא שייכת לשאלת ההתאוששות. תווית שרומזת על קנה מידה אינה מפרט של קנה מידה.

התאוששות שייכת לאותה שיחה. שאלו כיצד מגיע מנהל אל ההתקן כשהמנהרה עצמה היא הרכיב המקולקל, משום שנתיב מחוץ לרצועה הוא החלטת תכנון ולא אביזר.

בדקו את הראיות לפני התווית

יש להעריך שירות עכשווי לפי תפקידים נתמכים, מדיניות זהות, היקף העברה, קיבולת והתנהגות התאוששות, עם תשובות ספציפיות למהדורה שאותה הייתם פורסים. סקירה היסטורית יכולה להסביר מדוע המילה מרכזן קיימת, אבל היא לא יכולה לומר לכם מה מהדורה עכשווית תומכת.סקירה כללית של Cisco VPNהיא הקשר טרמינולוגי מועיל בדיוק מהסיבה הזאת, והתייחסות אליה כרשימת תכונות עכשווית היא הדרך שבה סקירת תכנון משתבשת.

לאחר מכן אמתו טענה אחת מקצה לקצה. בחרו את המאפיין החשוב ביותר, כמו תפוקה לכל מנהרה או זמן מעבר, ובקשו את שיטת המדידה ולא את המספר. בדיקה מקומית מהירה של מה שההתקן באמת חושף היא התחלה סבירה.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

ב-Linux השורה הראשונה סופרת אסוציאציות אבטחה, ולמנהרה יש בדרך כלל שתיים, אחת לכל כיוון, ולכן חלקו את המספר בשניים לפני שתשוו אותו לטענת מנהרה. במארח strongSwan השורה השנייה נוקבת בשמות המנהרות ישירות. ספירת שקעים אינה תחליף: IPsec NAT-T מחזיק שקע UDP 4500 יחיד שמשותף לכל המנהרות, ולכן ספירת שקעים בפורט הזה מחזירה אפס או אחד, יהיו כמה מנהרות שיהיו. אף אחת מהשורות אינה מדידת תפוקה, ואף אחת אינה חוזה התנהגות תחת עומס. מה שהן נותנות לכם הוא היחידה שעליה לשאול, ולספק שיודע לתאר את השיטה יש מפרט, במקום שבו למי שלא יודע יש עלון.

רשמו את הנתיב והתוויות מפסיקות להיות חשובות

תארו את הארכיטקטורה כרשימת תפקודים עם בעלים: סיום, אימות, הקצאת כתובות, הרשאה, ניתוב חזרה, תיעוד רישומים והתאוששות. התיאור הזה שורד שינוי שם מוצר, החלפת ספק ורכישה, ואף אחד מהם לא יעדכן את התרשים שלכם.

בדקו אותו מול הפעלת לקוח אמיתית פעם ברבעון, משום שתפקוד יכול לזוז בלי שאיש יערוך את השרטוט. התוויות ימשיכו להשתנות, ורשימת הבעלים תמשיך להיות הדבר שמסביר את הרשת באמת.