Zašto SSL VPN i VPN od lokacije do lokacije nisu suprotnosti
SSL VPN i VPN od lokacije do lokacije opisuju različite osi: tko se pridružuje mreži i kako se tunel gradi. Nazvati oboje zajedno znači počiniti pogrešku kategorije.
Zamolite dvoje administratora da opišu isti VPN i jedan može odgovoriti „SSL VPN“, a drugi „od lokacije do lokacije“, kao da su to suprotstavljene opcije u izborniku. To su odgovori na različita pitanja, a tretiranje kao alternativa stvara usporedbe koje se ne mogu razriješiti. Jedna oznaka kaže koje se krajnje točke spajaju; druga kaže što nosi promet između njih. Držite osi odvojenima i većina rasprave nestaje.
Dvije oznake, dva odvojena pitanja
Topologija odgovara tko se čemu pridružuje. Dizajn daljinskog pristupa priključuje pojedinačne korisnike ili uređaje na pristupnik, obično s identitetom po korisniku i skupom adresa. Dizajn od lokacije do lokacije spaja dvije mreže kroz pristupnike, pa je zanimljiv identitet pristupnik partner, a ne osoba za tipkovnicom. To su različiti operativni problemi, od planiranja adresa do toga tko može opozvati pristup u 2 sata ujutro.
Mehanizam odgovara kako se tunel gradi i autentificira. IPsec s IKEv2, TLS-bazirani proizvod koji nosi IP unutar sebe i portalu za aplikacije okrenut pregledniku izbori su mehanizma, a svaki ima vlastito pregovaranje, skupove šifri i načine neuspjeha. Nijedan od njih ne podrazumijeva topologiju, a topologija ne bira mehanizam.
Stavite dvije osi u jednu tablicu i zbrka postaje vidljiva, jer se svaka ćelija mreže može popuniti. Ono što tablica ne može je reći vam koju je kombinaciju isporučio vaš dobavljač, jer imena proizvoda sažimaju obje osi u jednu marketinšku frazu.
Odakle dolazi pogreška kategorije
Dobavljači su godinama prodavali „SSL VPN“ kao suprotnost „IPsec VPN“-u, zbog čega je usporedba mehanizama izgledala kao izbor topologije. Fraza je loše ostarjela i po vlastitim uvjetima, jer današnji dizajni koriste podržane verzije TLS-a, a ime SSL opstaje uglavnom kao kategorija proizvoda.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Iz istog sažimanja slijede dva povezana mita. Prvi je da IPsec znači od lokacije do lokacije; IKEv2 je projektiran i za odnose klijent–pristupnik, pa se pojedinačni laptop može pridružiti putem IPsec-a. Drugi je da TLS-bazirani proizvod znači samo daljinski pristup; OpenVPN rutinski se koristi za prijenos prometa između dvije lokacije, a njegova uporaba TLS-a koncentrirana je na razmjenu kontrole i autentifikacije, a ne na sesiju preglednika.
Koristan test za svaki opis: ako zamjena jedne riječi mijenja i krajnje točke i protokol, rečenica miješa osi. „SSL VPN nasuprot od lokacije do lokacije“ pada na tom testu, jer prvi termin imenuje porodicu mehanizama, a drugi topologiju.
Opišite postavljanje tako da se može usporediti
Napišite četiri polja i popunite ih: krajnje točke, mehanizam, autentifikacija i površina pristupa. Veza s podružnicom može se čitati kao par pristupnika IKEv2 između dva imenovana prefiksa s autentifikacijom certifikatom i bez portala na korisničkoj razini. Usluga daljinskog pristupa može se čitati kao TLS-bazirani klijent koji dodjeljuje adrese po korisniku, zahtijeva drugi faktor pri prijavi i objavljuje samo internu DNS zonu.
Te su rečenice usporedive na način na koji imena proizvoda nisu. Dva dizajna daljinskog pristupa mogu se mjeriti prema istom korisničkom tijeku rada i istoj putanji opoziva, a dva međulokacijska dizajna prema istom popisu prefiksa, politici prometa i zahtjevima za neuspjeh. Oznake organiziraju usporedbu; one je ne zamjenjuju.
Terminologija ima i objavljeni oslonac. IETF-ov dokument o VPN terminologiji odvaja nekoliko modela usluge, uključujući daljinski pristup i od lokacije do lokacije, od mehanizama kojima se grade, a to je upravo razlika koja se stalno gubi.
Čitajte pregovarani protokol, a ne ime proizvoda
Oznaka na kutiji ne utvrđuje na što je pokrenuti tunel pristao. Pitajte partnera izravno, na TLS strani, i pročitajte verziju protokola i šifru koju je proizvelo rukovanje, umjesto verzije iz brošure.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefZa IPsec pristupnik ekvivalentno opažanje dolazi iz vlastitog statusnog izlaza implementacije, koji izvješćuje o korištenim prijedlozima IKE i ESP. U svakom slučaju poanta je ista: os mehanizma mora se čitati iz žive sesije, jer klijent i pristupnik mogu pregovarati do nečega starijeg nego što je ijedan administrator očekivao.
ipsec statusall | grep -E "IKE|ESP"Nakon toga ostaju pitanja na koja nijedna oznaka ne odgovara. Koje se verzije protokola još prihvaćaju, kako se validira identitet pristupnika, koji je skup algoritama dopušten, tko autorizira određenog korisnika za određeni resurs i što opoziva pristup kada se uređaj izgubi. Dijagram topologije i ime mehanizma početak su tog popisa, a ne njegova zamjena.
Zadržite dvije oznake, ali ih koristite za ono što jesu: kratak način da se kaže koje se krajnje točke spajaju i kako se tunel gradi. U trenutku kada se jedna upotrijebi da isključi drugu, opis je prestao opisivati bilo što.