Ինչու SSL VPN-ը և կայք-կայք VPN-ը հակադիր չեն
SSL VPN-ը և կայք-կայք VPN-ը նկարագրում են տարբեր առանցքներ՝ ով է միանում ցանցին և ինչպես է կառուցվում թունելը։ Երկուսը միասին անվանելը կարգային սխալ է։
Խնդրեք երկու ադմինիստրատորի նկարագրել նույն VPN-ը, և մեկը կարող է պատասխանել «SSL VPN», մինչ մյուսը ասում է «կայք-կայք», կարծես երկուսը մենյուում մրցակից տարբերակներ լինեն։ Դրանք տարբեր հարցերի պատասխաններ են, և դրանք որպես այլընտրանք դիտարկելը ստեղծում է համեմատություններ, որոնք հնարավոր չէ լուծել։ Մեկ պիտակը ասում է, թե որ ծայրակետերն են միացվում, մյուսը՝ թե ինչն է կրում երթևեկությունը նրանց միջև։ Առանցքները առանձին պահեք, և վեճի մեծ մասը կվերանա։
Երկու պիտակ՝ երկու առանձին հարց
Տոպոլոգիան պատասխանում է, թե ով ինչին է միանում։ Հեռավոր մուտքի ձևավորումը առանձին օգտվողներին կամ սարքերին միացնում է դարպասին, սովորաբար ըստ օգտվողի ինքնության և հասցեների լողավազանի։ Կայք-կայք ձևավորումը միացնում է երկու ցանցեր դարպասների միջոցով, ուստի հետաքրքիր ինքնությունը գործընկեր դարպասն է, ոչ թե ստեղնաշարի առջև նստած մարդը։ Դրանք տարբեր գործառնական խնդիրներ են՝ հասցեների պլանավորումից մինչև այն, թե ով կարող է չեղարկել մուտքը գիշերվա ժամը 2-ին։
Մեխանիզմը պատասխանում է, թե ինչպես է կառուցվում և նույնականացվում թունելը։ IPsec-ը IKEv2-ով, TLS-ի վրա հիմնված ապրանք, որն իր մեջ կրում է IP, և դիտարկիչին ուղղված հավելվածային պորտալ մեխանիզմի ընտրություններ են, և յուրաքանչյուրն ունի իր բանակցությունը, գաղտնագրման հավաքածուները և ձախողման եղանակները։ Դրանցից ոչ մեկը տոպոլոգիա չի ենթադրում, և տոպոլոգիան մեխանիզմ չի ընտրում։
Երկու առանցքները դրեք մեկ աղյուսակում, և շփոթությունը տեսանելի կդառնա, քանի որ ցանցի յուրաքանչյուր բջիջ կարելի է լրացնել։ Այն, ինչ աղյուսակը չի կարող անել, ձեզ ասելն է, թե ձեր մատակարարը որ համակցությունն է մատակարարել, քանի որ ապրանքների անունները երկու առանցքները սեղմում են մեկ մարքեթինգային արտահայտության մեջ։
Որտեղից է գալիս կարգային սխալը
Մատակարարները տարիներ շարունակ «SSL VPN»-ը վաճառում էին որպես «IPsec VPN»-ի հակադիր, ինչը մեխանիզմների համեմատությունը նմանեցնում էր տոպոլոգիայի ընտրության։ Արտահայտությունը վատ է ծերացել նաև իր իսկ պայմաններով, քանի որ այսօրվա ձևավորումներն օգտագործում են աջակցվող TLS տարբերակներ, և SSL անունը հիմնականում պահպանվում է որպես ապրանքի կատեգորիա։
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Նույն սեղմումից բխում են երկու առնչվող առասպելներ։ Առաջինն այն է, որ IPsec-ը նշանակում է կայք-կայք։ IKEv2-ը նախագծվել է նաև հաճախորդ-դարպաս հարաբերությունների համար, ուստի առանձին նոթբուքը կարող է միանալ IPsec-ով։ Երկրորդն այն է, որ TLS-ի վրա հիմնված ապրանքը նշանակում է միայն հեռավոր մուտք։ OpenVPN սովորաբար օգտագործվում է երկու կայքերի միջև երթևեկություն կրելու համար, և դրա TLS օգտագործումը կենտրոնացած է կառավարման և նույնականացման փոխանակման վրա, ոչ թե դիտարկիչի նստաշրջանում։
Օգտակար փորձարկում ցանկացած նկարագրության համար. եթե մեկ բառ փոխելը փոխում է և՛ ծայրակետերը, և՛ արձանագրությունը, նախադասությունը խառնում է առանցքները։ «SSL VPN ընդդեմ կայք-կայքի» չի անցնում այդ փորձարկումը, քանի որ առաջին տերմինը անվանում է մեխանիզմների ընտանիք, իսկ երկրորդը՝ տոպոլոգիա։
Նկարագրեք տեղակայումն այնպես, որ հնարավոր լինի համեմատել
Գրեք չորս դաշտ և լրացրեք դրանք՝ ծայրակետեր, մեխանիզմ, նույնականացում և մուտքի մակերևույթ։ Մասնաճյուղային կապը կարելի է կարդալ որպես IKEv2 դարպասների զույգ երկու անվանված նախածանցերի միջև՝ վկայագրային նույնականացմամբ և առանց օգտվողի մակարդակի պորտալի։ Հեռավոր մուտքի ծառայությունը կարելի է կարդալ որպես TLS-ի վրա հիմնված հաճախորդ, որը հասցեներ է հատկացնում յուրաքանչյուր օգտվողի, մուտքի պահին պահանջում է երկրորդ գործոն և հրապարակում է միայն ներքին DNS գոտի։
Այդ նախադասությունները համեմատելի են այնպես, ինչպես ապրանքների անունները՝ ոչ։ Հեռավոր մուտքի երկու ձևավորում կարելի է չափել նույն օգտվողական աշխատահոսքի և նույն չեղարկման ուղու դեմ, իսկ միջկայքային երկու ձևավորում՝ նույն նախածանցների ցանկի, երթևեկության քաղաքականության և ձախողման պահանջների դեմ։ Պիտակները կազմակերպում են համեմատությունը, չեն փոխարինում այն։
Տերմինաբանությունն ունի նաև հրապարակված հենարան։ IETF-ի VPN տերմինաբանության փաստաթուղթը առանձնացնում է ծառայության մի քանի մոդելներ, ներառյալ հեռավոր մուտքը և կայք-կայքը, այն մեխանիզմներից, որոնցով դրանք կառուցվում են, և դա հենց այն տարբերությունն է, որ անընդհատ կորչում է։
Կարդացեք բանակցված արձանագրությունը, ոչ թե ապրանքի անունը
Տուփի պիտակը չի հաստատում, թե ինչի շուրջ պայմանավորվել է աշխատող թունելը։ Հարցրեք գործընկերոջը ուղղակիորեն՝ TLS կողմում, և կարդացեք ձեռքսեղմման արտադրած արձանագրության տարբերակն ու գաղտնագրությունը՝ բրոշյուրի տարբերակի փոխարեն։
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec դարպասի համար համարժեք դիտարկումը գալիս է իրականացման սեփական կարգավիճակի ելքից, որը հաղորդում է օգտագործվող IKE և ESP առաջարկները։ Ամեն դեպքում, իմաստը նույնն է. մեխանիզմի առանցքը պետք է կարդալ կենդանի նստաշրջանից, քանի որ հաճախորդն ու դարպասը կարող են բանակցել ավելի հին բանի շուրջ, քան սպասում էր ադմինիստրատորներից որևէ մեկը։
ipsec statusall | grep -E "IKE|ESP"Դրանից հետո մնում են հարցերը, որոնց ոչ մի պիտակ չի պատասխանում։ Որ արձանագրության տարբերակները դեռ ընդունվում են, ինչպես է վավերացվում դարպասի ինքնությունը, որ ալգորիթմների հավաքածուն է թույլատրված, ով է լիազորում տվյալ օգտվողին տվյալ ռեսուրսի համար և ինչն է չեղարկում մուտքը, երբ սարքը կորչում է։ Տոպոլոգիայի դիագրամը և մեխանիզմի անունը այդ ցանկի սկիզբն են, ոչ թե դրա փոխարինողը։
Այսպիսով, պահեք երկու պիտակները, բայց օգտագործեք դրանք այն բանի համար, ինչ դրանք կան՝ կարճ ձև ասելու, թե որ ծայրակետերն են միացվում և ինչպես է կառուցվում թունելը։ Այն պահին, երբ մեկն օգտագործվում է մյուսին բացառելու համար, նկարագրությունը դադարել է որևէ բան նկարագրելուց։