Koncentrátor vagy átjáró? Hol van a VPN-végpont az útvonaladon

Két szállító ugyanazt a dobozt nevezheti koncentrátornak és átjárónak, és egyik szó sem mondja meg, hol fejtik vissza a forgalmat. A címkék telepítési szerepeket írnak le, nem protokollokat, és a szerepek minden irányban átfednek. Egy tervezési átvizsgálásnál az számít, hogy melyik eszköz zárja le az alagutat, milyen vezérlők veszik körül, és milyen útvonalon halad egy visszafejtett kérés. Dönts e három alapján, és az adatlapon szereplő főnév megszűnik érvnek lenni.

Két címke, egy döntés

A koncentrátor általában azt a központi rendszert jelenti, amely egyszerre sok kapcsolatot fogad és kezel, és a szó méretre utaló célzást hordoz. Az átjáró tágabb kifejezés arra a végpontra, amely egy alagutat a mögötte lévő hálózatokhoz kapcsol, és leírhat útválasztót, tűzfalat vagy felügyelt szolgáltatást. Egyik szó sem nevez meg protokollt, és egyik sem ígér meghatározott funkciókészletet. Ugyanazt az eszközt két szállító két néven is árulhatja, és ezért a terminológiai vita soha nem oldódik meg.

A címkét a szándékolt használatra utaló jelzésnek tekintsd, és semmi másnak. A döntés azokhoz a funkciókhoz tartozik, amelyeket a konfigurációban ellenőrizni tudsz, nem a brosúra szavaihoz.

Keresd meg az eszközt, amely valóban lezárja az alagutat

Kövess egy kliens-kapcsolatot kívülről befelé. Valami fogadja a szállítást, valami hitelesíti a partnert, valami címet ad a kliensnek, valami engedélyez egy célt, és valami visszaútvonalat biztosít. Ez az öt funkció lehet egy eszközön vagy ötön, és az egyetlen hasznos kérdés az, melyik eszköz melyiket látja el. Egy felsőbb útválasztó továbbíthatja a külső csomagokat anélkül, hogy valaha visszafejtené őket, és pontosan ez az az eset, amikor a topológiai ábra félrevezeti a bírálót, hogy rossz dobozt nevezzen meg.

A lezárást magán a jelöltön igazoldne a rajzból. Egy figyelő socket a várt porton, valamint egy létrejött állapotbejegyzés erősebb bizonyíték egy hálózati ábránál, és mindkettő hiánya még erősebb.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Öt tulajdonság alapján dönts, ne a terméknév alapján

Öt tulajdonság választja el a jelölteket, és mindegyik megválaszolható a dokumentációból, nem a marketingből. Mely VPN-szerepeket támogatja ez a kiadás, milyen identitásforrásokat használhat, milyen továbbítási hatókört enged, mekkora kapacitást bír el, és hogyan viselkedik hiba esetén. Kérd ezt az ötöt írásban, és a címke lényegtelenné válik a döntéshez.

A kapacitás az a tulajdonság, amelyre a koncentrátor címke a legerősebben utal, és ez marad leginkább homályos. Az egyidejűségi korlátok, az alagútonkénti átbocsátóképesség és a teljes átbocsátóképesség három különböző szám, és egy eszköz lehet bőkezű az egyikben és szűkmarkú a másikban. A magas rendelkezésre állás a pár tulajdonsága, nem valamelyik dobozé, és a helyreállítás kérdéséhez tartozik. A méretre utaló címke nem a méret specifikációja.

A helyreállítás ugyanabba a beszélgetésbe tartozik. Kérdezd meg, hogyan ér el a rendszergazda az eszközhöz, amikor maga az alagút a hibás komponens, mert a sávon kívüli útvonal tervezési döntés, nem tartozék.

A bizonyítékot a címke előtt vizsgáld

Egy jelenlegi szolgáltatást a támogatott szerepek, az identitáspolitika, a továbbítási hatókör, a kapacitás és a helyreállítási viselkedés alapján kell értékelni, a válaszoknak pedig a telepíteni kívánt verzióra kell vonatkozniuk. Egy történeti áttekintés megmagyarázhatja, miért létezik a koncentrátor szó, de nem tudja megmondani, mit támogat egy jelenlegi kiadás.Cisco VPN áttekintéspontosan ezért hasznos terminológiai kontextus, és ha aktuális funkciólistaként kezeljük, attól szokott félremenni egy tervezési átvizsgálás.

Ezután igazolj egy állítást elejétől a végéig. Válaszd a legfontosabb tulajdonságot, például az alagútonkénti átbocsátóképességet vagy a váltási időt, és a mérési módszert kérd, ne a számot. Egy gyors helyi ellenőrzés arról, mit ténylegesen mutat az eszköz, ésszerű kezdet.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linuxon az első sor a biztonsági társításokat számolja, és egy alagútnak általában kettő van, irányonként egy, ezért felezd meg a számot, mielőtt alagút-állításhoz hasonlítod. Egy strongSwan-gazdagépen a második sor közvetlenül megnevezi az alagutakat. A socketek száma nem pótolja ezt: az IPsec NAT-T egyetlen közös UDP 4500-as socketet tart fenn minden alagút számára, ezért az socketszámolás azon a porton nullát vagy egyet ad, akárhány alagút létezik. Egyik sor sem átbocsátóképesség-mérés, és egyik sem jósolja meg a terhelés alatti viselkedést. Azt adják meg, hogy milyen egységet kérdezz, és az a szállító, aki le tudja írni a módszert, specifikációval rendelkezik ott, ahol a másik brosúrával.

Írd le az útvonalat, és a címkék megszűnnek számítani

Írd le az architektúrát funkciók és felelősök listájaként: lezárás, hitelesítés, címkiosztás, engedélyezés, visszaútválasztás, naplózás és helyreállítás. Ez a leírás túlél egy termékátnevezést, egy szállítóváltást és egy felvásárlást, és egyik sem fogja frissíteni az ábrádat.

Negyedévente vizsgáld felül egy valódi kliens-munkamenethez képest, mert egy funkció anélkül is elmozdulhat, hogy bárki szerkesztené a rajzot. A címkék tovább változnak, és a felelősök listája továbbra is az lesz, ami a hálózatot valóban megmagyarázza.