コンセントレーターかゲートウェイか——経路上の VPN 終端はどこにあるのか

同じ筐体を、あるベンダーはコンセントレーターと呼び、別のベンダーはゲートウェイと呼びます。どちらの言葉も、どこでトラフィックが復号されるかを教えてはくれません。ラベルが表すのはプロトコルではなく導入上の役割であり、その役割はあらゆる方向で重なっています。設計レビューで重要なのは、トンネルを終端する装置、その周囲の統制、復号された要求が通る経路の三つです。この三つで決めれば、データシート上の名詞は論点ではなくなります。

二つのラベル、一つの決定

コンセントレーターは通常、多数の接続を同時に受け付けて管理する中央のシステムを指し、スケールという含みを持ちます。ゲートウェイはより広い用語で、トンネルを背後のネットワークにつなぐ端点を指し、ルーター、ファイアウォール、マネージドサービスを表すこともあります。どちらの言葉もプロトコルを名指しせず、特定の機能群を約束するものでもありません。同じ機器が二人のベンダーによって両方の名前で売られることがあり、用語論争が決着しないのはそのためです。

ラベルは想定用途の手がかりとして扱い、それ以上ではないと考えてください。決定は、構成で検証できる機能に属し、パンフレットの言葉には属しません。

実際に終端している装置を見つける

クライアント接続を外側から内側へたどります。何かがトランスポートを受け付け、何かが相手を認証し、何かがクライアントにアドレスを割り当て、何かが宛先を許可し、何かが戻り経路を用意します。この五つの機能は一つの装置にあっても五つに分かれていてもよく、有用な問いはどれをどの装置が担うかだけです。上流のルーターが外側のパケットを一度も復号せずに運ぶことがあり、トポロジー図がレビュー担当者を誤った筐体の名指しに導くのはまさにこの場合です。

終端は候補そのもので確認する図面からではなく。想定したポートで待ち受けるソケットと、確立した状態エントリが揃っていれば、ネットワーク図より強い証拠になります。どちらも無い場合はさらに強い証拠です。

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

製品名ではなく五つの性質で決める

五つの性質が候補を分け、そのいずれもマーケティングではなくドキュメントから答えられます。このリリースが対応する VPN の役割、使える身元の源、許される転送範囲、維持できる容量、障害時の振る舞いです。この五つを書面で求めれば、ラベルは決定にとって無関係になります。

容量はコンセントレーターというラベルが最も強くほのめかす性質であり、最も曖昧にされたままになる性質でもあります。同時接続の上限、トンネル当たりのスループット、全体のスループットは三つの異なる数であり、ある装置が一方で寛大でも他方で乏しいことがあります。高可用性はどちらか一方の筐体ではなく対の性質であり、復旧の問いに属します。スケールをほのめかすラベルは、スケールの仕様ではありません。

復旧も同じ会話の中にあります。トンネル自体が壊れた部品であるとき、管理者がどうやって装置に到達するかを尋ねてください。帯域外の経路は付属品ではなく設計上の決定だからです。

ラベルの前に証拠を確認する

現在のサービスは、対応する役割、身元の方針、転送範囲、容量、復旧時の振る舞いで評価すべきであり、答えは導入する版に固有でなければなりません。歴史的な概説はコンセントレーターという言葉がなぜ存在するかを説明できますが、現在の版が何に対応するかは教えてくれません。Cisco VPN の概要はまさにその理由で有用な用語の文脈であり、これを現在の機能一覧として扱うことが、設計レビューを誤らせる道です。

次に一つの主張を端から端まで検証します。トンネル当たりのスループットや切り替え時間など、最も重要な性質を選び、数値ではなく測定方法を求めてください。装置が実際に何を公開しているかを手元で素早く確認することは、妥当な出発点です。

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux では最初の行がセキュリティアソシエーションを数え、トンネルには通常二つ、方向ごとに一つあります。したがってトンネルの主張と比べる前に数を半分にしてください。strongSwan のホストでは二行目がトンネルを直接名指しします。ソケットの数は代わりになりません。IPsec NAT-T はすべてのトンネルで共有する単一の UDP 4500 ソケットを保つため、そのポートでソケットを数えても、トンネルがいくつあってもゼロか一になります。どちらの行もスループットの測定ではなく、負荷時の振る舞いを予測するものでもありません。これらが与えるのは問い合わせるべき単位であり、方法を説明できるベンダーには仕様があり、できないベンダーにはパンフレットがあるだけです。

経路を書き出せば、ラベルは問題ではなくなる

アーキテクチャを、担当者付きの機能一覧として記述してください。終端、認証、アドレス割り当て、許可、戻り経路の制御、記録、復旧です。この記述は製品名の変更、ベンダーの変更、買収を越えて残り、そのいずれも図を更新してはくれません。

四半期に一度、実際のクライアントセッションと照らして見直してください。誰も図を編集しないまま機能が移ることがあるからです。ラベルは変わり続け、担当者の一覧こそがネットワークを実際に説明するものとして残ります。