Կենտրոնացուցի՞չ, թե՞ դարպաս. Որտե՞ղ է VPN-ի վերջնակետը ձեր ուղուն

Երկու մատակարար կարող է նույն սարքը կոչել և՛ կենտրոնացուցիչ, և՛ դարպաս, և այդ բառերից ոչ մեկը ձեզ չի ասի, թե որտեղ է վերծանվում թրաֆիկը։ Պիտակները նկարագրում են տեղակայման դերեր, ոչ թե արձանագրություններ, և դերերը բոլոր ուղղություններով համընկնում են։ Դիզայնի վերանայման համար կարևոր է այն սարքը, որը փակում է թունելը, դրա շուրջ վերահսկիչները և այն ուղին, որով անցնում է վերծանված հարցումը։ Որոշեք այդ երեքի հիման վրա, և տվյալների թերթիկի գոյականը կդադարի վիճաբանություն լինելուց։

Երկու պիտակ, մեկ որոշում

Կենտրոնացուցիչը սովորաբար նշանակում է կենտրոնական համակարգ, որը միաժամանակ ընդունում և կառավարում է շատ կապեր, և բառը մասշտաբի ակնարկ է պարունակում։ Դարպասը ավելի լայն տերմին է այն վերջնակետի համար, որը թունելը միացնում է իր հետևում գտնվող ցանցերին, և այն կարող է նկարագրել երթուղիչ, հրապատ կամ կառավարվող ծառայություն։ Ոչ մի բառ արձանագրություն չի անվանում, և ոչ մեկը որոշակի գործառույթների հավաքածու չի խոստանում։ Նույն սարքը երկու մատակարար կարող է վաճառել երկու անունով, և դրա համար էլ տերմինաբանական վեճը երբեք չի լուծվում։

Պիտակը ընդունեք որպես նախատեսված օգտագործման ակնարկ և ոչ ավելին։ Որոշումը պատկանում է այն գործառույթներին, որոնք կարող եք ստուգել կարգավորումներում, ոչ թե բրոշյուրի բառերին։

Գտեք սարքը, որն իրականում փակում է թունելը

Հետևեք հաճախորդի կապին դրսից ներս։ Ինչ-որ բան ընդունում է տրանսպորտը, ինչ-որ բան նույնականացնում է գործընկերոջը, ինչ-որ բան հաճախորդին հասցե է տալիս, ինչ-որ բան լիազորում է նպատակակետը, և ինչ-որ բան ապահովում է վերադարձի ուղի։ Այս հինգ գործառույթները կարող են լինել մեկ սարքում կամ հինգում, և միակ օգտակար հարցն այն է, թե որ սարքն ինչ է անում։ Վերին երթուղիչը կարող է արտաքին փաթեթները տեղափոխել առանց երբևէ վերծանելու, և հենց այդ դեպքում է տոպոլոգիայի սխեման մոլորեցնում գրախոսին սխալ սարք անվանելու։

Հաստատեք փակումը հենց թեկնածուի վրաոչ թե նկարից։ Սպասվող պորտում լսող սոքեթը և հաստատված վիճակի գրառումը միասին ավելի ուժեղ ապացույց են, քան ցանցի սխեման, և երկուսի բացակայությունն էլ ավելի ուժեղ է։

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Որոշեք հինգ հատկությամբ, ոչ թե ապրանքի անունով

Հինգ հատկություն տարբերում է թեկնածուներին, և յուրաքանչյուրին կարելի է պատասխանել փաստաթղթերից, ոչ թե մարքեթինգից։ Ինչ VPN դերեր է աջակցում այս տարբերակը, ինչ ինքնության աղբյուրներ կարող է օգտագործել, ինչ փոխանցման ծավալ է թույլատրում, ինչ հզորություն է դիմանում և ինչպես է վարվում խափանման ժամանակ։ Պահանջեք այդ հինգը գրավոր, և պիտակը որոշման համար անկարևոր կդառնա։

Հզորությունը այն հատկությունն է, որին կենտրոնացուցիչ պիտակը ամենաուժեղ է ակնարկում, և հենց այն է, որ ամենից հաճախ մնում է անորոշ։ Միաժամանակության սահմանները, թունելի հաշվով թողունակությունը և ընդհանուր թողունակությունը երեք տարբեր թվեր են, և սարքը կարող է առատաձեռն լինել մեկում ու ժլատ՝ մյուսում։ Բարձր հասանելիությունը զույգի հատկությունն է, ոչ թե սարքերից որևէ մեկինը, և այն պատկանում է վերականգնման հարցին։ Մասշտաբ ակնարկող պիտակը մասշտաբի բնութագիր չէ։

Վերականգնումը նույն զրույցի մասն է։ Հարցրեք, թե ինչպես է ադմինիստրատորը հասնում սարքին, երբ թունելն ինքն է փչացած բաղադրիչը, որովհետև գոտուց դուրս ուղին դիզայնի որոշում է, ոչ թե պարագա։

Ստուգեք ապացույցները պիտակից առաջ

Ընթացիկ ծառայությունը պետք է գնահատվի ըստ աջակցվող դերերի, ինքնության քաղաքականության, փոխանցման ծավալի, հզորության և վերականգնման վարքի, ընդ որում պատասխանները պետք է հատուկ լինեն այն տարբերակին, որը կտեղակայեք։ Պատմական ակնարկը կարող է բացատրել, թե ինչու է գոյություն ունի կենտրոնացուցիչ բառը, բայց չի կարող ասել, թե ինչ է աջակցում ընթացիկ տարբերակը։Cisco VPN-ի ակնարկհենց այդ պատճառով օգտակար տերմինաբանական համատեքստ է, և այն որպես ընթացիկ գործառույթների ցանկ դիտարկելը հենց այն ձևն է, որով դիզայնի վերանայումը սխալ է գնում։

Այնուհետև ստուգեք մեկ պնդում սկզբից մինչև վերջ։ Ընտրեք ամենակարևոր հատկությունը, օրինակ՝ թունելի հաշվով թողունակությունը կամ անցման ժամանակը, և պահանջեք չափման մեթոդը, ոչ թե թիվը։ Սարքի իրական ցուցադրության արագ տեղական ստուգումը խելամիտ սկիզբ է։

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux-ում առաջին տողը հաշվում է անվտանգության ասոցիացիաները, և թունելը սովորաբար ունենում է դրանցից երկուսը՝ մեկը յուրաքանչյուր ուղղության համար, ուստի կրկնակի կրճատեք թիվը նախքան թունելի պնդման հետ համեմատելը։ strongSwan հոսթում երկրորդ տողը ուղղակիորեն անվանում է թունելները։ Սոքեթների հաշվարկը դա չի փոխարինում. IPsec NAT-T-ն պահում է մեկ ընդհանուր UDP 4500 սոքեթ բոլոր թունելների համար, ուստի այդ պորտում սոքեթները հաշվելով ստանում եք զրո կամ մեկ, անկախ թունելների քանակից։ Ոչ մի տող թողունակության չափում չէ, և ոչ մեկը չի կանխատեսում վարքը ծանրաբեռնվածության տակ։ Նրանք ձեզ տալիս են այն միավորը, որի մասին պետք է հարցնել, և մատակարարը, որը կարող է նկարագրել մեթոդը, ունի բնութագիր այնտեղ, որտեղ չկարողացողը բրոշյուր ունի։

Գրեք ուղին, և պիտակները կդադարեն կարևոր լինելուց

Նկարագրեք ճարտարապետությունը որպես գործառույթների ցանկ՝ տերերի հետ միասին՝ փակում, նույնականացում, հասցեների հատկացում, լիազորում, վերադարձի երթուղավորում, մատյանագրում և վերականգնում։ Այդ նկարագրությունը կդիմանա ապրանքի վերանվանմանը, մատակարարի փոփոխությանը և ձեռքբերմանը, և դրանցից ոչ մեկը չի թարմացնի ձեր սխեման։

Վերանայեք այն իրական հաճախորդի սեսիայի դեմ եռամսյակը մեկ, որովհետև գործառույթը կարող է տեղափոխվել առանց որևէ մեկի նկարը խմբագրելու։ Պիտակները կշարունակեն փոխվել, և տերերի ցանկը կշարունակի լինել այն, ինչ իրականում բացատրում է ցանցը։