Cara memilih gateway VPN antar situs yang dapat saling bekerja

Dua gateway situs dari vendor berbeda akan membentuk terowongan jika implementasinya sepakat tentang parameter yang dinegosiasikan. Merek yang identik bukan syarat, dan merek yang serasi juga bukan jaminan. Pertanyaan kompatibilitas menyangkut fitur dan rilis; pertanyaan kapasitas menyangkut pekerjaan yang harus dilakukan perangkat dalam perangkat lunak. Perlakukan keduanya sebagai dua pemeriksaan, tepat dalam urutan itu.

Telusuri daftar dan berhenti pada butir pertama yang tidak memiliki jawaban.

Mulai dari fitur protokol, bukan dari merek

Untuk protokol yang hendak Anda jalankan, daftarkan apa yang dibutuhkan rancangan: metode autentikasi, usulan enkripsi dan integritas yang disepakati, antarmuka atau konstruksi lalu lintas terlindungi, mode perutean, dan apakah salah satu sisi berada di belakang NAT. Masing-masing adalah fitur yang harus didukung implementasi, bukan kotak centang di halaman produk.

Persyaratan gateway pelanggan AWS adalah templat yang berguna meskipun Anda tidak terhubung ke AWS, karena persyaratan itu menyatakan kontrak sebagai seperangkat kewajiban protokol dan perutean. Berkas contoh vendor untuk model tertentu adalah bukti yang layak bahwa seseorang telah menguji kombinasi itu. Label umum yang mengklaim dukungan IPsec tidak membuktikan versi maupun model kebijakan. Bacalah catatan rilis, bukan ringkasan pemasaran.

Periksa rilisnya, bukan label pada lembar data

Interoperabilitas IKEv2 ditentukan oleh parameter yang dinegosiasikan, jadi pertanyaannya adalah usulan mana yang ditawarkan dan diterima firmware saat ini. Perangkat yang mendukung protokol secara umum tetap dapat menolak kombinasi tertentu yang dipaksakan ujung Anda yang lain. Pastikan string versi dan daftar usulan di kedua sisi.

Catatan bahwa suatu fitur baru hadir pada rangkaian firmware berikutnya cukup umum sehingga layak mendapat butir daftar periksa tersendiri.

Perlakukan kapasitas sebagai pertanyaan terpisah

Enkripsi membutuhkan kerja, dan berapa banyak bergantung pada implementasi sama seperti pada algoritme. Beberapa jalur percepatan hanya berlaku untuk algoritme tertentu atau jalur penerusan tertentu, sehingga sebuah perangkat bisa cepat dalam satu konfigurasi dan lambat dalam konfigurasi lain. Throughput WAN biasa bukan throughput terowongan terenkripsi. Ukurlah perangkat terhadap lalu lintas yang benar-benar akan Anda lindungi.

Ukuran paket juga penting, karena enkapsulasi dan tambahan overhead apa pun mengurangi muatan yang dibawa setiap paket.

Tetapkan kebijakan perutean secara eksplisit

Antar situs tidak berarti hanya lalu lintas terpilih yang boleh memakai terowongan, dan tidak berarti semua harus. Sebuah rancangan dapat membawa prefiks privat tertentu, atau merutekan rute bawaan melalui gateway. Pilih salah satu dan tuliskan, karena kedua ujung harus sepakat tentang apa yang diumumkan dan apa yang diterima. Ketidakcocokan di sini menghasilkan terowongan yang menyala dan jaringan yang setengah terjangkau.

Rancangan dengan perutean dinamis menambahkan satu syarat lagi: dukungan protokol perutean di kedua ujung.

Apa yang dibandingkan sebelum membeli

Bandingkan irama pembaruan, bukti interoperabilitas, pemulihan konfigurasi, dan perilaku failover yang dimaksudkan bersama laju transfer puncak. Tanyakan apa yang terjadi ketika perangkat melakukan boot ulang dengan konfigurasi usang. Tanyakan apakah vendor menerbitkan daftar interoperabilitas untuk peer persis yang akan Anda pakai. Tanyakan siapa yang memiliki perubahan ketika pembaruan firmware mengubah usulan bawaan.

Garansi perangkat keras bukan jawaban atas semua itu.

Lalu ujilah pasangan itu sebelum berkomitmen pada satu armada. Satu terowongan, usulan yang sebenarnya, mode perutean yang sebenarnya, dan transfer yang menyerupai beban kerja akan memberi tahu Anda lebih banyak daripada tabel spesifikasi mana pun.