Konsentrator atau gateway? Di mana terminator VPN pada jalur Anda

Dua vendor dapat menyebut kotak yang sama sebagai konsentrator dan gateway, dan tidak satu pun kata itu memberi tahu Anda di mana lalu lintas didekripsi. Label menggambarkan peran penyebaran, bukan protokol, dan peran tersebut bertumpang tindih ke segala arah. Yang penting dalam tinjauan desain adalah perangkat yang mengakhiri terowongan, kendali di sekitarnya, dan jalur yang ditempuh permintaan yang telah didekripsi. Putuskan berdasarkan ketiganya, dan kata benda pada lembar data berhenti menjadi perdebatan.

Dua label, satu keputusan

Konsentrator biasanya berarti sistem pusat yang menerima dan mengelola banyak koneksi sekaligus, dan kata itu membawa implikasi skala. Gateway adalah istilah yang lebih luas untuk titik akhir yang menyambungkan terowongan ke jaringan di belakangnya, dan dapat menggambarkan router, firewall, atau layanan terkelola. Tidak satu pun kata menamai protokol, dan tidak satu pun menjanjikan rangkaian fitur tertentu. Perangkat yang sama dapat dijual dengan kedua nama oleh dua vendor, dan itulah sebabnya perdebatan terminologi tidak pernah selesai.

Perlakukan label sebagai petunjuk penggunaan yang dimaksudkan dan tidak lebih. Keputusan menjadi milik fungsi yang dapat Anda verifikasi dalam konfigurasi, bukan kata-kata di brosur.

Temukan perangkat yang benar-benar mengakhiri

Ikuti koneksi klien dari luar ke dalam. Sesuatu menerima transport, sesuatu mengautentikasi rekan, sesuatu memberi klien alamat, sesuatu mengesahkan tujuan, dan sesuatu menyediakan rute balik. Kelima fungsi itu dapat berada pada satu perangkat atau lima, dan satu-satunya pertanyaan berguna adalah perangkat mana melakukan apa. Router di hulu dapat membawa paket luar tanpa pernah mendekripsinya, dan itulah tepat kasus ketika diagram topologi menyesatkan peninjau untuk menyebut kotak yang salah.

Pastikan pengakhiran pada kandidat itu sendiribukan dari gambar. Socket yang mendengarkan pada port yang diharapkan ditambah entri status yang terbentuk adalah bukti lebih kuat daripada diagram jaringan, dan tidak adanya keduanya bahkan lebih kuat.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Putuskan dengan lima sifat, bukan dengan nama produk

Lima sifat memisahkan para kandidat, dan masing-masing dapat dijawab dari dokumentasi, bukan dari pemasaran. Peran VPN apa yang didukung rilis ini, sumber identitas apa yang dapat digunakannya, cakupan penerusan apa yang diizinkannya, berapa kapasitas yang ditahannya, dan bagaimana perilakunya saat gagal. Mintalah kelima hal itu secara tertulis dan label menjadi tidak relevan bagi keputusan.

Kapasitas adalah sifat yang paling kuat diisyaratkan oleh label konsentrator, dan itulah yang paling sering dibiarkan kabur. Batas konkurensi, laju per terowongan, dan laju total adalah tiga angka berbeda, dan perangkat dapat bermurah hati pada satu dan pelit pada yang lain. Ketersediaan tinggi adalah sifat pasangan, bukan salah satu kotak, dan itu termasuk dalam pertanyaan pemulihan. Label yang menyarankan skala bukan spesifikasi skala.

Pemulihan termasuk dalam percakapan yang sama. Tanyakan bagaimana administrator mencapai perangkat ketika terowongan itu sendiri adalah komponen yang rusak, karena jalur luar pita adalah keputusan desain, bukan aksesori.

Periksa bukti sebelum label

Layanan saat ini harus dievaluasi berdasarkan peran yang didukung, kebijakan identitas, cakupan penerusan, kapasitas, dan perilaku pemulihan, dengan jawaban yang khusus untuk versi yang akan Anda terapkan. Ikhtisar historis dapat menjelaskan mengapa kata konsentrator ada, tetapi tidak dapat memberi tahu Anda apa yang didukung rilis saat ini.Ikhtisar Cisco VPNadalah konteks terminologi yang berguna justru karena itu, dan memperlakukannya sebagai daftar fitur saat ini adalah cara tinjauan desain salah arah.

Lalu verifikasi satu klaim dari awal sampai akhir. Pilih sifat yang paling penting, seperti laju per terowongan atau waktu failover, dan mintalah metode pengukuran, bukan angkanya. Pemeriksaan lokal singkat atas apa yang sebenarnya ditampilkan perangkat adalah awal yang wajar.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Di Linux, baris pertama menghitung asosiasi keamanan, dan terowongan biasanya memilikinya dua, satu per arah, jadi bagilah jumlahnya dua sebelum membandingkannya dengan klaim terowongan. Pada host strongSwan, baris kedua menyebut terowongan secara langsung. Penghitungan socket bukan pengganti: IPsec NAT-T mempertahankan satu socket UDP 4500 yang dipakai bersama oleh setiap terowongan, jadi menghitung socket pada port itu menghasilkan nol atau satu, berapa pun terowongan yang ada. Tidak satu pun baris itu merupakan pengukuran laju, dan tidak satu pun memprediksi perilaku di bawah beban. Yang mereka berikan adalah satuan untuk ditanyakan, dan vendor yang dapat menjelaskan metodenya memiliki spesifikasi di tempat yang tidak dapat melakukannya memiliki brosur.

Tuliskan jalurnya dan label berhenti penting

Gambarkan arsitektur sebagai daftar fungsi beserta pemiliknya: pengakhiran, autentikasi, penetapan alamat, otorisasi, perutean balik, pencatatan, dan pemulihan. Deskripsi itu bertahan terhadap penggantian nama produk, pergantian vendor, dan akuisisi, dan tidak satu pun dari itu akan memperbarui diagram Anda.

Tinjau terhadap sesi klien nyata sekali seperempat, karena suatu fungsi dapat berpindah tanpa ada yang menyunting gambar. Label akan terus berubah, dan daftar pemilik akan terus menjadi hal yang benar-benar menjelaskan jaringan.