कंसंट्रेटर या गेटवे? आपके पथ में VPN टर्मिनेटर कहाँ है

दो विक्रेता एक ही बॉक्स को कंसंट्रेटर और गेटवे दोनों कह सकते हैं, और इन दोनों शब्दों में से कोई भी आपको नहीं बताएगा कि ट्रैफ़िक कहाँ डिक्रिप्ट होता है। लेबल तैनाती की भूमिकाएँ बताते हैं, प्रोटोकॉल नहीं, और भूमिकाएँ हर दिशा में ओवरलैप करती हैं। डिज़ाइन समीक्षा के लिए महत्वपूर्ण यह है कि कौन-सा उपकरण टनल समाप्त करता है, उसके आसपास के नियंत्रण, और डिक्रिप्ट किया गया अनुरोध किस पथ से जाता है। इन तीनों से निर्णय लें, और डेटाशीट पर लिखा संज्ञा बहस बनना बंद कर देगा।

दो लेबल, एक निर्णय

कंसंट्रेटर आमतौर पर उस केंद्रीय प्रणाली को कहा जाता है जो एक साथ कई कनेक्शन स्वीकार करती है और प्रबंधित करती है, और शब्द में पैमाने का संकेत है। गेटवे उस अंतिम बिंदु के लिए व्यापक शब्द है जो टनल को उसके पीछे के नेटवर्क से जोड़ता है, और यह राउटर, फ़ायरवॉल या प्रबंधित सेवा का वर्णन कर सकता है। कोई भी शब्द प्रोटोकॉल का नाम नहीं लेता, और कोई भी किसी निश्चित सुविधा-समूह का वादा नहीं करता। एक ही उपकरण दो विक्रेताओं द्वारा दोनों नामों से बेचा जा सकता है, इसीलिए शब्दावली की बहस कभी हल नहीं होती।

लेबल को इच्छित उपयोग का संकेत मानें और इससे अधिक कुछ नहीं। निर्णय उन कार्यों का है जिन्हें आप कॉन्फ़िगरेशन में सत्यापित कर सकते हैं, ब्रोशर के शब्दों का नहीं।

वह उपकरण खोजें जो वास्तव में टनल समाप्त करता है

क्लाइंट कनेक्शन को बाहर से भीतर तक अनुसरण करें। कुछ परिवहन स्वीकार करता है, कुछ सहभागी को प्रमाणित करता है, कुछ क्लाइंट को पता देता है, कुछ गंतव्य को अधिकृत करता है, और कुछ वापसी मार्ग देता है। ये पाँच कार्य एक उपकरण पर या पाँच पर रह सकते हैं, और एकमात्र उपयोगी प्रश्न यह है कि कौन-सा उपकरण क्या करता है। ऊपर का राउटर बाहरी पैकेट बिना कभी डिक्रिप्ट किए ले जा सकता है, और ठीक यही वह स्थिति है जहाँ टोपोलॉजी आरेख समीक्षक को गलत बॉक्स का नाम लेने के लिए भटकाता है।

उम्मीदवार पर ही समाप्ति की पुष्टि करेंचित्र से नहीं। अपेक्षित पोर्ट पर सुनता सॉकेट और स्थापित स्थिति-प्रविष्टि मिलकर नेटवर्क आरेख से अधिक मजबूत प्रमाण हैं, और दोनों का अभाव और भी मजबूत है।

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

उत्पाद के नाम से नहीं, पाँच गुणों से निर्णय लें

पाँच गुण उम्मीदवारों को अलग करते हैं, और हर एक का उत्तर मार्केटिंग के बजाय दस्तावेज़ से दिया जा सकता है। यह संस्करण किन VPN भूमिकाओं का समर्थन करता है, किन पहचान-स्रोतों का उपयोग कर सकता है, कितना फ़ॉरवर्डिंग दायरा देता है, कितनी क्षमता सहता है, और विफलता में कैसा व्यवहार करता है। ये पाँच लिखित में माँगें और लेबल निर्णय के लिए अप्रासंगिक हो जाएगा।

क्षमता वह गुण है जिसका संकेत कंसंट्रेटर लेबल सबसे प्रबलता से देता है, और यही सबसे अधिक अस्पष्ट छोड़ा जाता है। समवर्तीता की सीमाएँ, प्रति टनल थ्रूपुट और कुल थ्रूपुट तीन अलग संख्याएँ हैं, और कोई उपकरण एक में उदार और दूसरे में कंजूस हो सकता है। उच्च उपलब्धता दोनों बॉक्सों की नहीं, जोड़ी की विशेषता है, और उसका स्थान पुनर्प्राप्ति के प्रश्न में है। पैमाने का संकेत देने वाला लेबल पैमाने का विनिर्देश नहीं है।

पुनर्प्राप्ति उसी बातचीत का हिस्सा है। पूछें कि जब टनल ही खराब घटक हो तब प्रशासक उपकरण तक कैसे पहुँचता है, क्योंकि आउट-ऑफ़-बैंड पथ डिज़ाइन का निर्णय है, सहायक उपकरण नहीं।

लेबल से पहले प्रमाण देखें

वर्तमान सेवा का मूल्यांकन समर्थित भूमिकाओं, पहचान नीति, फ़ॉरवर्डिंग दायरे, क्षमता और पुनर्प्राप्ति व्यवहार पर होना चाहिए, और उत्तर उसी संस्करण के लिए विशिष्ट होने चाहिए जिसे आप तैनात करेंगे। ऐतिहासिक अवलोकन यह समझा सकता है कि कंसंट्रेटर शब्द क्यों मौजूद है, पर यह नहीं बता सकता कि वर्तमान संस्करण क्या समर्थन करता है।Cisco VPN का अवलोकनठीक इसी कारण एक उपयोगी शब्दावली संदर्भ है, और उसे वर्तमान सुविधा-सूची मानना वह तरीका है जिससे डिज़ाइन समीक्षा गड़बड़ाती है।

फिर एक दावे को शुरू से अंत तक सत्यापित करें। सबसे महत्वपूर्ण गुण चुनें, जैसे प्रति टनल थ्रूपुट या फ़ेलओवर समय, और संख्या के बजाय मापन विधि माँगें। उपकरण वास्तव में क्या दर्शाता है इसकी त्वरित स्थानीय जाँच उचित शुरुआत है।

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux में पहली पंक्ति सुरक्षा-संबद्धताएँ गिनती है, और टनल में सामान्यतः दो होती हैं, हर दिशा के लिए एक, इसलिए टनल-दावे से तुलना करने से पहले गिनती आधी करें। strongSwan होस्ट पर दूसरी पंक्ति टनलों के नाम सीधे बताती है। सॉकेट गिनना इसका विकल्प नहीं है: IPsec NAT-T हर टनल द्वारा साझा एक ही UDP 4500 सॉकेट रखता है, इसलिए उस पोर्ट पर सॉकेट गिनने से शून्य या एक मिलता है, चाहे कितनी भी टनलें हों। कोई भी पंक्ति थ्रूपुट मापन नहीं है, और कोई भार के तहत व्यवहार का पूर्वानुमान नहीं करती। वे आपको वह इकाई देती हैं जिसके बारे में पूछना है, और जो विक्रेता विधि बता सकता है उसके पास विनिर्देश है, जहाँ जो नहीं बता सकता उसके पास ब्रोशर है।

पथ लिख लें और लेबल महत्वहीन हो जाएँगे

वास्तुकला का वर्णन स्वामियों सहित कार्यों की सूची के रूप में करें: समाप्ति, प्रमाणीकरण, पता आबंटन, अधिकृति, वापसी राउटिंग, लॉगिंग और पुनर्प्राप्ति। यह वर्णन उत्पाद के नए नाम, विक्रेता परिवर्तन और अधिग्रहण को पार कर जाता है, और इनमें से कोई भी आपका आरेख अपडेट नहीं करेगा।

हर तिमाही इसे वास्तविक क्लाइंट सत्र के सामने समीक्षित करें, क्योंकि कोई चित्र संपादित किए बिना भी कोई कार्य स्थान बदल सकता है। लेबल बदलते रहेंगे, और स्वामियों की सूची वही रहेगी जो नेटवर्क को वास्तव में समझाती है।