კონცენტრატორი თუ კარიბჭე? სად არის VPN-ის დამამთავრებელი თქვენს გზაზე

ორმა მომწოდებელმა შეიძლება ერთი და იგივე მოწყობილობა კონცენტრატორი და კარიბჭე უწოდოს და არც ერთი სიტყვა არ გეტყვით, სად იშიფრება ტრაფიკი. ეტიკეტები განლაგების როლებს აღწერს და არა პროტოკოლებს, და როლები ყველა მიმართულებით ემთხვევა. დიზაინის განხილვისთვის მნიშვნელოვანია მოწყობილობა, რომელიც გვირაბს ასრულებს, მის გარშემო არსებული კონტროლი და გზა, რომელსაც გაშიფრული მოთხოვნა გადის. ამ სამიდან გადაწყვიტეთ და მონაცემთა ფურცელზე არსებული არსებითი სახელი კამათი აღარ იქნება.

ორი ეტიკეტი, ერთი გადაწყვეტილება

კონცენტრატორი ჩვეულებრივ ცენტრალურ სისტემას ნიშნავს, რომელიც ერთდროულად ბევრ კავშირს იღებს და მართავს, და სიტყვა მასშტაბის მინიშნებას ატარებს. კარიბჭე უფრო ფართო ტერმინია იმ ბოლო წერტილისთვის, რომელიც გვირაბს მის უკან არსებულ ქსელებს უერთებს, და შეიძლება აღწეროს მარშრუტიზატორი, ფაირვოლი ან მართული სერვისი. არც ერთი სიტყვა პროტოკოლს არ ასახელებს და არც ერთი კონკრეტულ ფუნქციათა ნაკრებს არ გპირდებათ. ერთი და იგივე მოწყობილობა ორმა მომწოდებელმა ორივე სახელით შეიძლება გაყიდოს და სწორედ ამიტომ ტერმინოლოგიური კამათი არასოდეს წყდება.

ეტიკეტს მიზნობრივი გამოყენების მინიშნებად მიიჩნიეთ და მეტად არა. გადაწყვეტილება ეკუთვნის ფუნქციებს, რომლებიც კონფიგურაციაში შეგიძლიათ შეამოწმოთ და არა ბროშურის სიტყვებს.

იპოვეთ მოწყობილობა, რომელიც ნამდვილად ასრულებს გვირაბს

თვალი ადევნეთ კლიენტის კავშირს გარედან შიგნით. რაღაც ტრანსპორტს იღებს, რაღაც პარტნიორს ამოწმებს, რაღაც კლიენტს მისამართს აძლევს, რაღაც დანიშნულებას ნებას რთავს და რაღაც დაბრუნების გზას უზრუნველყოფს. ეს ხუთი ფუნქცია შეიძლება ერთ მოწყობილობაზე იყოს ან ხუთზე, და ერთადერთი სასარგებლო კითხვაა, რომელი მოწყობილობა რას აკეთებს. ზედა მარშრუტიზატორს შეუძლია გარე პაკეტები ატაროს მათი არც ერთხელ გაშიფვრის გარეშე, და სწორედ ეს არის შემთხვევა, როცა ტოპოლოგიის სქემა მიმომხილველს არასწორი მოწყობილობის დასახელებისკენ უბიძგებს.

დაადასტურეთ დასრულება თავად კანდიდატზედა არა ნახაზიდან. მოსალოდნელ პორტზე მსმენი სოკეტი და დადგენილი მდგომარეობის ჩანაწერი ერთად უფრო ძლიერი მტკიცებულებაა, ვიდრე ქსელის სქემა, და ორივეს არარსებობა კიდევ უფრო ძლიერია.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

გადაწყვიტეთ ხუთი თვისებით და არა პროდუქტის სახელით

ხუთი თვისება გამოყოფს კანდიდატებს და თითოეულზე პასუხი დოკუმენტაციიდან მიიღება და არა მარკეტინგიდან. რომელ VPN როლებს უჭერს მხარს ეს გამოცემა, რომელი იდენტობის წყაროების გამოყენება შეუძლია, რა გადაგზავნის არეს უშვებს, რა სიმძლავრეს უძლებს და როგორ იქცევა მარცხისას. მოითხოვეთ ეს ხუთი წერილობით და ეტიკეტი გადაწყვეტილებისთვის უმნიშვნელო გახდება.

სიმძლავრე ის თვისებაა, რომელზეც კონცენტრატორის ეტიკეტი ყველაზე ძლიერად მიგვანიშნებს და სწორედ ის რჩება ყველაზე ხშირად ბუნდოვნად. ერთდროულობის ზღვრები, გამტარუნარიანობა თითო გვირაბზე და საერთო გამტარუნარიანობა სამი სხვადასხვა რიცხვია და მოწყობილობა შეიძლება ერთში გულუხვი იყოს და მეორეში ძუნწი. მაღალი ხელმისაწვდომობა წყვილის თვისებაა და არა რომელიმე მოწყობილობის, და ის აღდგენის კითხვას ეკუთვნის. მასშტაბზე მიმანიშნებელი ეტიკეტი მასშტაბის სპეციფიკაცია არ არის.

აღდგენა იმავე საუბრის ნაწილია. ჰკითხეთ, როგორ აღწევს ადმინისტრატორი მოწყობილობამდე, როცა თავად გვირაბი გატეხილი კომპონენტია, რადგან ზოლის გარეთ გზა დიზაინის გადაწყვეტილებაა და არა აქსესუარი.

შეამოწმეთ მტკიცებულებები ეტიკეტამდე

მიმდინარე სერვისი უნდა შეფასდეს მხარდაჭერილი როლებით, იდენტობის პოლიტიკით, გადაგზავნის არეთი, სიმძლავრით და აღდგენის ქცევით, და პასუხები უნდა იყოს სპეციფიკური იმ ვერსიისთვის, რომელსაც განათავსებდით. ისტორიულმა მიმოხილვამ შეიძლება ახსნას, რატომ არსებობს სიტყვა კონცენტრატორი, მაგრამ ვერ გეტყვით, რას უჭერს მხარს მიმდინარე გამოცემა.Cisco VPN-ის მიმოხილვასწორედ ამიტომ სასარგებლო ტერმინოლოგიური კონტექსტია და მისი მიმდინარე ფუნქციათა სიად განხილვა სწორედ ის გზაა, რომლითაც დიზაინის განხილვა ფუჭდება.

შემდეგ გადაამოწმეთ ერთი მტკიცება თავიდან ბოლომდე. აირჩიეთ ყველაზე მნიშვნელოვანი თვისება, მაგალითად გამტარუნარიანობა თითო გვირაბზე ან გადართვის დრო, და მოითხოვეთ გაზომვის მეთოდი და არა რიცხვი. მოწყობილობის რეალური ჩვენების სწრაფი ადგილობრივი შემოწმება გონივრული დასაწყისია.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux-ში პირველი ხაზი უსაფრთხოების ასოციაციებს ითვლის და გვირაბს ჩვეულებრივ ორი აქვს, თითო ყოველ მიმართულებაზე, ამიტომ გაანახევრეთ რიცხვი სანამ გვირაბის მტკიცებას შეადარებთ. strongSwan ჰოსტზე მეორე ხაზი გვირაბებს პირდაპირ ასახელებს. სოკეტების დათვლა ამას არ ცვლის: IPsec NAT-T ინახავს ერთ საერთო UDP 4500 სოკეტს ყველა გვირაბისთვის, ამიტომ ამ პორტზე სოკეტების დათვლა იძლევა ნულს ან ერთს, რამდენი გვირაბიც არ უნდა იყოს. არც ერთი ხაზი გამტარუნარიანობის გაზომვა არ არის და არც ერთი არ იწინასწარმეტყველებს ქცევას დატვირთვის ქვეშ. ისინი გაძლევენ ერთეულს, რომელზეც უნდა იკითხოთ, და მომწოდებელს, რომელსაც მეთოდის აღწერა შეუძლია, სპეციფიკაცია აქვს იქ, სადაც ვერ შემძლეს ბროშურა აქვს.

ჩაწერეთ გზა და ეტიკეტებს მნიშვნელობა აღარ ექნებათ

აღწერეთ არქიტექტურა ფუნქციათა სიად მფლობელებთან ერთად: დასრულება, ავთენტიფიკაცია, მისამართების განაწილება, ნებართვა, დაბრუნების მარშრუტიზაცია, ჟურნალირება და აღდგენა. ეს აღწერა გადაურჩება პროდუქტის გადარქმევას, მომწოდებლის შეცვლას და შეძენას, და არც ერთი მათგანი თქვენს სქემას არ განაახლებს.

გადახედეთ მას რეალურ კლიენტის სესიასთან კვარტალში ერთხელ, რადგან ფუნქცია შეიძლება გადავიდეს ისე, რომ ვინმემ ნახაზი არ შეცვალოს. ეტიკეტები განაგრძობენ შეცვლას და მფლობელთა სია განაგრძობს იმის ყოფნას, რაც ქსელს რეალურად ხსნის.