מדוע SSL VPN ו-VPN מאתר לאתר אינם הפכים
SSL VPN ו-VPN מאתר לאתר מתארים צירים שונים: מי מצטרף לרשת וכיצד נבנה המנהרה. לקרוא לשניהם יחד זו טעות קטגוריה.
בקשו משני מנהלים לתאר את אותה VPN, ואחד עשוי להשיב „SSL VPN“ בעוד השני אומר „מאתר לאתר“, כאילו היו שתי אפשרויות מתחרות בתפריט. אלו תשובות לשאלות שונות, והתייחסות אליהן כאל חלופות יוצרת השוואות שאי אפשר להכריע. תווית אחת אומרת אילו קצוות מחוברים; האחרת אומרת מה נושא את התעבורה ביניהם. הפרידו בין הצירים ורוב הוויכוח ייעלם.
שתי תוויות, שתי שאלות נפרדות
הטופולוגיה עונה על מי מצטרף למה. תכנון גישה מרחוק מחבר משתמשים או התקנים בודדים לשער, בדרך כלל עם זהות לכל משתמש ומאגר כתובות. תכנון מאתר לאתר מחבר שתי רשתות דרך שערים, ולכן הזהות המעניינת היא שער העמית ולא האדם שליד המקלדת. אלו בעיות תפעוליות שונות, מתכנון כתובות ועד למי יכול לבטל גישה בשעה 2 לפנות בוקר.
המנגנון עונה על כיצד נבנית המנהרה ומאומתת. IPsec עם IKEv2, מוצר מבוסס TLS שנושא IP בתוכו, ופורטל יישומים הפונה לדפדפן הם בחירות מנגנון, ולכל אחד משא ומתן, חבילות צופן ומצבי כשל משלו. אף אחד מהם אינו מרמז על טופולוגיה, וטופולוגיה אינה בוחרת מנגנון.
הניחו את שני הצירים בטבלה אחת והבלבול יהפוך גלוי, כי כל תא ברשת יכול להתמלא. מה שהטבלה אינה יכולה לעשות הוא לומר לכם איזה שילוב הספק שלכם סיפק, שכן שמות מוצרים ממצים את שני הצירים לביטוי שיווקי אחד.
מאין מגיעה טעות הקטגוריה
ספקים מכרו „SSL VPN“ במשך שנים כהפך של „IPsec VPN“, מה שהפך השוואת מנגנונים לבחירת טופולוגיה. הביטוי גם התיישן לרעה במונחים שלו, שכן תכנונים עכשוויים משתמשים בגרסאות TLS נתמכות והשם SSL שורד בעיקר כקטגוריית מוצר.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
שני מיתוסים קשורים נובעים מאותה דחיסה. הראשון הוא ש-IPsec פירושו מאתר לאתר; IKEv2 תוכנן גם ליחסי לקוח-שער, כך שמחשב נייד בודד יכול להצטרף עם IPsec. השני הוא שמוצר מבוסס TLS פירושו גישה מרחוק בלבד; OpenVPN משמש באופן שגרתי להעברת תעבורה בין שני אתרים, והשימוש שלו ב-TLS מרוכז בחילופי הבקרה והאימות ולא בהפעלת דפדפן.
מבחן שימושי לכל תיאור: אם החלפת מילה אחת משנה גם את הקצוות וגם את הפרוטוקול, המשפט מערבב את הצירים. „SSL VPN לעומת מאתר לאתר“ נכשל במבחן הזה, כי המונח הראשון משמם משפחת מנגנונים והשני טופולוגיה.
תארו פריסה כך שאפשר יהיה להשוות
כתבו ארבעה שדות ומלאו אותם: קצוות, מנגנון, אימות ומשטח גישה. קישור סניף יכול להיקרא כצמד שערי IKEv2 בין שני קידומות נקובות עם אימות תעודה וללא פורטל ברמת משתמש. שירות גישה מרחוק יכול להיקרא כלקוח מבוסס TLS שמקצה כתובות לכל משתמש, דורש גורם שני בכניסה ומפרסם רק אזור DNS פנימי.
המשפטים האלה ניתנים להשוואה באופן ששמות מוצרים אינם. שני תכנוני גישה מרחוק ניתנים למדידה מול אותו תהליך עבודה של משתמש ואותו נתיב ביטול, ושני תכנונים בין אתרים מול אותה רשימת קידומות, אותה מדיניות תעבורה ואותן דרישות כשל. התוויות מארגנות את ההשוואה; הן אינן מחליפות אותה.
למינוח יש גם עוגן מפורסם. מסמך המינוח של IETF ל-VPN מפריד בין כמה מודלי שירות, ובהם גישה מרחוק ומאתר לאתר, לבין המנגנונים שבהם הם נבנים, וזה בדיוק ההבדל שהולך לאיבוד שוב ושוב.
קראו את הפרוטוקול שעליו נוהל משא ומתן, לא את שם המוצר
התווית על הקופסה אינה קובעת למה הסכים מנהרה פועלת. שאלו את העמית ישירות, בצד TLS, וקראו את גרסת הפרוטוקול והצופן שהפיק לחיצת היד במקום את הגרסה שבעלון.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefעבור שער IPsec ההתבוננות המקבילה מגיעה מפלט הסטטוס של המימוש עצמו, שמדווח על הצעות IKE ו-ESP שבשימוש. כך או כך, הנקודה זהה: יש לקרוא את ציר המנגנון מהסשן החי, כי לקוח ושער יכולים לנהל משא ומתן מטה למשהו ישן ממה שכל אחד מהמנהלים ציפה.
ipsec statusall | grep -E "IKE|ESP"לאחר מכן נשארות השאלות שאין תווית שעונה עליהן. אילו גרסאות פרוטוקול עדיין מתקבלות, כיצד מאומתת זהות השער, איזה סט אלגוריתמים מותר, מי מאשר משתמש נתון למשאב נתון, ומה מבטל גישה כשמכשיר הולך לאיבוד. תרשים טופולוגיה ושם מנגנון הם תחילת הרשימה, לא תחליף לה.
השאירו אפוא את שתי התוויות, אך השתמשו בהן כפי שהן: דרך קצרה לומר אילו קצוות מחוברים וכיצד נבנית המנהרה. ברגע שאחת מהן משמשת לשלול את האחרת, התיאור הפסיק לתאר דבר.