Hvers vegna SSL VPN og síðu-til-síðu VPN eru ekki andstæður
SSL VPN og síðu-til-síðu lýsa mismunandi ásum: hver gengur í netið og hvernig göngin eru byggð. Að nefna hvort tveggja saman er flokkavilla.
Biddu tvo kerfisstjóra að lýsa sama VPN og annar svarar kannski „SSL VPN“ á meðan hinn segir „síðu-til-síðu“, eins og þau tvö séu keppinautar í valmynd. Þau eru svör við mismunandi spurningum, og að meðhöndla þau sem valkosti skapar samanburð sem ekki er hægt að leysa. Annað merkið segir hvaða endapunktar eru sameinaðir; hitt segir hvað ber umferðina milli þeirra. Haltu ásunum aðskildum og stærsti hluti deilunnar hverfur.
Tvö merki, tvær aðskildar spurningar
Topologia svarar því hver gengur í hvað. Fjartengingarhönnun tengir einstaka notendur eða tæki við hlið, venjulega með auðkenni fyrir hvern notanda og laug af vistföngum. Síðu-til-síðu hönnun tengir tvö net saman gegnum hlið, svo áhugaverða auðkennið er hliðarinn á móti, ekki manneskjan við lyklaborðið. Þetta eru mismunandi rekstrarvandamál, frá vistfangsáætlun til þess hver getur afturkallað aðgang klukkan 2 að nóttu.
Aðferðin svarar því hvernig göngin eru byggð og auðkennd. IPsec með IKEv2, TLS-undirstaða vara sem ber IP inni í sér, og forritagátt sem snýr að vafranum eru aðferðarval, og hvert hefur sína samningaviðræður, dulritunarsett og bilunarmáta. Ekkert þeirra gefur í skyn topologíu, og topologia velur ekki aðferð.
Setja ásana tvo í eina töflu og ruglingurinn verður sýnilegur, því hver reitur rastsins er fyllanlegur. Það sem rastið getur ekki gert er að segja þér hvaða samsetningu söluaðilinn þinn sendi, þar sem vörunöfn falla báða ásana í eitt markaðssetningarlagsmál.
Hvaðan flokkavillan kemur
Söluaðilar seldu „SSL VPN“ í mörg ár sem andstæðu „IPsec VPN“, sem lét samanburð aðferða líta út eins og topologíuval. Orðalagið hefur líka eldst illa á eigin forsendum, þar sem núverandi hönnun notar studdar TLS-útgáfur og nafnið SSL lifir aðallega sem vöruflokkur.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Tvær tengdar goðsagnir fylgja sama samfalli. Sú fyrsta er að IPsec þýði síðu-til-síðu; IKEv2 var einnig hannað fyrir sambönd biðlara og hliðs, svo einn fartölva getur gengið inn með IPsec. Sú seinni er að TLS-undirstaða vara þýði aðeins fjartengingu; OpenVPN er reglulega notað til að bera umferð milli tveggja staða, og notkun þess á TLS er einbeitt í stjórn- og auðkenningarskiptum frekar en í vafralotu.
Gagnlegt próf fyrir hverja lýsingu: ef að skipta einu orði breytir bæði endapunktunum og samskiptareglunni, þá blandar setningin ásunum. „SSL VPN á móti síðu-til-síðu“ stenst það próf ekki, því fyrra hugtakið nefnir aðferðafjölskyldu og hið síðara nefnir topologíu.
Lýstu uppsetningu þannig að hægt sé að bera hana saman
Skrifaðu fjögur svæði og fylltu þau: endapunktar, aðferð, auðkenning og aðgangsflötur. Útibúartenging getur lesist sem IKEv2-hliðarpar milli tveggja nefndra forskeyta með vottorðaauðkenningu og án gáttar á notendastigi. Fjartengingarþjónusta getur lesist sem TLS-undirstaða biðlari sem úthlutar vistföngum fyrir hvern notanda, krefst annars þáttar við innskráningu og birtir aðeins innra DNS-svæði.
Þessar setningar eru samanburðarhæfar á þann hátt sem vörunöfn eru ekki. Hægt er að mæla tvær fjartengingarhannanir gegn sama vinnuflæði notandans og sama afturköllunarleið, og tvær hannanir milli staða gegn sama forskeytalista, umferðarstefnu og bilunarkröfum. Merkin skipuleggja samanburðinn; þau koma ekki í staðinn fyrir hann.
Hugtakanotkunin hefur líka birtan akkeri. VPN-hugtakaskjal IETF aðskilur nokkrar þjónustulíkön, þar á meðal fjartengingu og síðu-til-síðu, frá aðferðunum sem eru notaðar til að byggja þau, og það er einmitt sú aðgreining sem hverfur aftur og aftur.
Lestu samningsbundnu samskiptaregluna, ekki vöruheitið
Merkið á kassanum staðfestir ekki hvað gangandi göng hafa samþykkt. Spurðu mótaðilann beint, á TLS-hliðinni, og lestu samskiptaregluútgáfuna og dulritunina sem handabandið framleiddi í stað útgáfunnar í bæklingnum.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefFyrir IPsec-hlið kemur samsvarandi athugun úr eigin stöðuúttaki útfærslunnar, sem greinir frá IKE- og ESP-tillögum sem eru í notkun. Hvernig sem er, punkturinn er sá sami: ás aðferðarinnar verður að lesa úr lifandi lotu, því biðlari og hlið geta samið niður í eitthvað eldra en hvor kerfisstjórinn sem var að vænta.
ipsec statusall | grep -E "IKE|ESP"Eftir það eru spurningarnar sem eftir eru þær sem ekkert merki svarar. Hvaða samskiptaregluútgáfur eru enn samþykktar, hvernig auðkenni hliðsins er staðfest, hvaða reikniritasett er leyft, hver heimilar tiltekinn notanda fyrir tiltekið auðlind og hvað afturkallar aðgang þegar tæki týnist. Topologíuskýring og aðferðarheiti eru byrjunin á þeim lista, ekki staðgengill fyrir hann.
Haltu því tveimur merkjum, en notaðu þau fyrir það sem þau eru: stutt leið til að segja hvaða endapunktar eru sameinaðir og hvernig göngin eru byggð. Á þeirri stundu sem annað er notað til að útiloka hitt, hefur lýsingin hætt að lýsa neinu.