Mengapa SSL VPN dan VPN situs-ke-situs bukanlah lawan
SSL VPN dan VPN situs-ke-situs menggambarkan sumbu berbeda: siapa yang bergabung ke jaringan dan bagaimana terowongan dibangun. Menyebut keduanya sekaligus adalah kesalahan kategori.
Minta dua administrator mendeskripsikan VPN yang sama dan yang satu mungkin menjawab “SSL VPN” sementara yang lain mengatakan “situs-ke-situs”, seolah keduanya adalah opsi bersaing dalam menu. Keduanya adalah jawaban atas pertanyaan berbeda, dan memperlakukannya sebagai alternatif menghasilkan perbandingan yang tidak dapat diselesaikan. Satu label mengatakan titik akhir mana yang digabungkan; yang lain mengatakan apa yang membawa lalu lintas di antara keduanya. Pisahkan kedua sumbu itu dan sebagian besar perdebatan akan hilang.
Dua label, dua pertanyaan terpisah
Topologi menjawab siapa bergabung dengan apa. Desain akses jarak jauh menghubungkan pengguna atau perangkat individual ke gateway, biasanya dengan identitas per pengguna dan kumpulan alamat. Desain situs-ke-situs menggabungkan dua jaringan melalui gateway, jadi identitas yang menarik adalah gateway mitra, bukan orang di depan keyboard. Itu adalah masalah operasional yang berbeda, dari perencanaan alamat hingga siapa yang dapat mencabut akses pada pukul 2 dini hari.
Mekanisme menjawab bagaimana terowongan dibangun dan diautentikasi. IPsec dengan IKEv2, produk berbasis TLS yang membawa IP di dalamnya, dan portal aplikasi yang menghadap peramban adalah pilihan mekanisme, dan masing-masing memiliki negosiasi, rangkaian sandi, dan mode kegagalannya sendiri. Tidak satu pun menyiratkan topologi, dan topologi tidak memilih mekanisme.
Tempatkan kedua sumbu dalam satu tabel dan kebingungan menjadi terlihat, karena setiap sel kisi dapat diisi. Yang tidak dapat dilakukan kisi adalah memberi tahu Anda kombinasi mana yang dikirim vendor Anda, karena nama produk meruntuhkan kedua sumbu menjadi satu frasa pemasaran.
Dari mana kesalahan kategori berasal
Vendor menjual “SSL VPN” selama bertahun-tahun sebagai lawan dari “IPsec VPN”, yang membuat perbandingan mekanisme tampak seperti pilihan topologi. Frasa itu juga menua dengan buruk menurut syaratnya sendiri, karena desain saat ini menggunakan versi TLS yang didukung dan nama SSL terutama bertahan sebagai kategori produk.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Dua mitos terkait mengikuti dari peruntuhan yang sama. Yang pertama adalah IPsec berarti situs-ke-situs; IKEv2 juga dirancang untuk hubungan klien-ke-gateway, sehingga satu laptop dapat bergabung dengan IPsec. Yang kedua adalah produk berbasis TLS hanya berarti akses jarak jauh; OpenVPN rutin digunakan untuk membawa lalu lintas antara dua situs, dan penggunaan TLS-nya terkonsentrasi pada pertukaran kontrol dan autentikasi, bukan pada sesi peramban.
Uji yang berguna untuk setiap deskripsi: jika menukar satu kata mengubah titik akhir dan protokolnya, kalimat itu mencampur sumbu. “SSL VPN versus situs-ke-situs” gagal dalam uji itu, karena istilah pertama menamai keluarga mekanisme dan yang kedua menamai topologi.
Deskripsikan penerapan agar dapat dibandingkan
Tulis empat kolom dan isi: titik akhir, mekanisme, autentikasi, dan permukaan akses. Tautan cabang dapat dibaca sebagai pasangan gateway IKEv2 antara dua prefiks bernama dengan autentikasi sertifikat dan tanpa portal tingkat pengguna. Layanan akses jarak jauh dapat dibaca sebagai klien berbasis TLS yang menetapkan alamat per pengguna, mewajibkan faktor kedua saat masuk, dan hanya menerbitkan zona DNS internal.
Kalimat-kalimat itu dapat dibandingkan dengan cara yang tidak dimiliki nama produk. Dua desain akses jarak jauh dapat diukur terhadap alur kerja pengguna yang sama dan jalur pencabutan yang sama, dan dua desain antarsitus terhadap daftar prefiks, kebijakan lalu lintas, dan persyaratan kegagalan yang sama. Label-label itu mengatur perbandingan; mereka tidak menggantikannya.
Terminologi juga memiliki jangkar yang diterbitkan. Dokumen terminologi VPN dari IETF memisahkan beberapa model layanan, termasuk akses jarak jauh dan situs-ke-situs, dari mekanisme yang digunakan untuk membangunnya, dan itulah tepatnya pembedaan yang terus hilang.
Baca protokol yang dinegosiasikan, bukan nama produk
Label pada kotak tidak menetapkan apa yang disepakati terowongan yang berjalan. Tanyakan langsung ke mitra, di sisi TLS, dan baca versi protokol serta sandi yang dihasilkan jabat tangan, bukan versi di brosur.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefUntuk gateway IPsec pengamatan yang setara datang dari keluaran status implementasi itu sendiri, yang melaporkan proposal IKE dan ESP yang digunakan. Bagaimanapun, intinya sama: sumbu mekanisme harus dibaca dari sesi hidup, karena klien dan gateway dapat bernegosiasi turun ke sesuatu yang lebih tua daripada yang diharapkan salah satu administrator.
ipsec statusall | grep -E "IKE|ESP"Setelah itu, pertanyaan yang tersisa adalah yang tidak dijawab label mana pun. Versi protokol mana yang masih diterima, bagaimana identitas gateway divalidasi, rangkaian algoritme mana yang diizinkan, siapa yang mengotorisasi pengguna tertentu untuk sumber daya tertentu, dan apa yang mencabut akses saat perangkat hilang. Diagram topologi dan nama mekanisme adalah awal daftar itu, bukan penggantinya.
Pertahankan kedua label, tetapi gunakan untuk apa adanya: cara singkat mengatakan titik akhir mana yang digabungkan dan bagaimana terowongan dibangun. Begitu salah satunya digunakan untuk menyingkirkan yang lain, deskripsi itu berhenti mendeskripsikan apa pun.