Неліктен SSL VPN мен сайт-сайт VPN бір-біріне қарсы емес
SSL VPN мен сайт-сайт VPN әртүрлі осьтерді сипаттайды: кім желіге қосылады және туннель қалай құрылады. Екеуін бірге атау — санат қатесі.
Екі әкімшіге бір VPN-ді сипаттауды сұраңыз, біреуі «SSL VPN» деп жауап беруі мүмкін, ал екіншісі «сайт-сайт» дейді, екеуі мәзірдегі бәсекелес нұсқалар сияқты. Бұл әртүрлі сұрақтарға берілген жауаптар, және оларды балама ретінде қарау шешілмейтін салыстырулар туғызады. Бір белгі қандай шеткі нүктелер қосылатынын айтса, екіншісі олардың арасындағы трафикті ненің тасымалдайтынын айтады. Осьтерді бөлек ұстаңыз, даудың көбі жоғалады.
Екі белгі, екі бөлек сұрақ
Топология кімнің неге қосылатынына жауап береді. Қашықтан қатынау дизайны жеке пайдаланушыларды немесе құрылғыларды шлюзге қосады, әдетте пайдаланушыға сай сәйкестендіру және мекенжайлар пулымен. Сайт-сайт дизайны екі желіні шлюздер арқылы біріктіреді, сондықтан қызықты сәйкестендіру — серіктес шлюз, пернетақта алдындағы адам емес. Бұл әртүрлі операциялық мәселелер: мекенжайларды жоспарлаудан бастап түнгі сағат 2-де кім қатынауды қайтарып ала алатынына дейін.
Механизм туннельдің қалай құрылатынын және аутентификацияланатынын сипаттайды. IKEv2 бар IPsec, ішінде IP тасымалдайтын TLS негізіндегі өнім және браузерге бағытталған қосымша порталы — механизм таңдаулары, және әрқайсысының өз келіссөздері, шифр жиынтықтары және сәтсіздік режимдері бар. Олардың ешқайсысы топологияны білдірмейді, ал топология механизмді таңдамайды.
Екі осьті бір кестеге салыңыз, шатасу көрінеді, өйткені тордың әр ұяшығын толтыруға болады. Кесте жасай алмайтыны — жеткізушіңіз қандай комбинация жібергенін айту, өйткені өнім атаулары екі осьті бір маркетингтік сөз тіркесіне сығады.
Санат қатесі қайдан шығады
Жеткізушілер жылдар бойы «SSL VPN»-ді «IPsec VPN»-нің қарсысы ретінде сатты, бұл механизмдерді салыстыруды топология таңдауына ұқсатты. Сөз тіркесі өз шарттары бойынша да нашар ескірді, өйткені қазіргі дизайндар қолдау көрсетілетін TLS нұсқаларын пайдаланады және SSL атауы негізінен өнім санаты ретінде қалады.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Сол сығудан екі байланысты миф туындайды. Біріншісі — IPsec сайт-сайт дегенді білдіреді; IKEv2 клиент-шлюз қатынастары үшін де жасалған, сондықтан жеке ноутбук IPsec арқылы қосыла алады. Екіншісі — TLS негізіндегі өнім тек қашықтан қатынауды білдіреді; OpenVPN екі сайт арасында трафик тасымалдау үшін жиі қолданылады, және оның TLS қолданысы браузер сессиясында емес, басқару мен аутентификация алмасуында шоғырланған.
Кез келген сипаттама үшін пайдалы тест: бір сөзді ауыстыру шеткі нүктелерді де, протоколды да өзгертсе, сөйлем осьтерді араластырады. «SSL VPN сайт-сайтқа қарсы» бұл тесттен өтпейді, өйткені бірінші термин механизмдер әулетін, ал екіншісі топологияны атайды.
Орналастыруды салыстыруға болатындай сипаттаңыз
Төрт өрісті жазып, толтырыңыз: шеткі нүктелер, механизм, аутентификация және қатынау беті. Филиал байланысын екі аталған префикс арасындағы сертификаттық аутентификациясы бар және пайдаланушы деңгейіндегі порталы жоқ IKEv2 шлюз жұбы ретінде оқуға болады. Қашықтан қатынау қызметін әр пайдаланушыға мекенжай бөлетін, кіру кезінде екінші фактор талап ететін және тек ішкі DNS аймағын жариялайтын TLS негізіндегі клиент ретінде оқуға болады.
Бұл сөйлемдер өнім атауларында жоқ тәсілмен салыстыруға келеді. Екі қашықтан қатынау дизайнын бір пайдаланушы жұмыс ағынына және бір қайтарып алу жолына қарсы өлшеуге болады, ал екі сайтаралық дизайнды бір префикстер тізіміне, трафик саясатына және сәтсіздік талаптарына қарсы. Белгілер салыстыруды ұйымдастырады; оның орнын баспайды.
Терминологияның жарияланған тірегі де бар. IETF-тің VPN терминологиясы құжаты қашықтан қатынау мен сайт-сайтты қоса, бірнеше қызмет моделін олардың құрылуында қолданылатын механизмдерден бөледі, және бұл дәл үнемі жоғалатын айырмашылық.
Келісілген протоколды оқыңыз, өнім атауын емес
Қораптағы белгі жұмыс істеп тұрған туннельдің неге келіскенін анықтамайды. Серіктестен тікелей, TLS жағында сұраңыз, және брошюрадағы нұсқаның орнына қол алысудың шығарған протокол нұсқасы мен шифрын оқыңыз.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec шлюзі үшін баламалы бақылау іске асырудың өз күй шығысынан келеді, ол қолданылып жатқан IKE және ESP ұсыныстарын хабарлайды. Қалай болғанда да, мәні бір: механизм осін тірі сессиядан оқу керек, өйткені клиент пен шлюз екі әкімшінің де күткенінен ескірек нәрсеге дейін келісе алады.
ipsec statusall | grep -E "IKE|ESP"Одан кейін қалатын сұрақтар — ешбір белгі жауап бермейтін сұрақтар. Қандай протокол нұсқалары әлі қабылданады, шлюздің сәйкестігі қалай тексеріледі, қандай алгоритмдер жиынтығына рұқсат етілген, кім белгілі пайдаланушыны белгілі ресурсқа рұқсаттандырады және құрылғы жоғалғанда қатынауды не қайтарып алады. Топология диаграммасы мен механизм атауы сол тізімнің басы, оның орнын басушы емес.
Сондықтан екі белгіні ұстаныңыз, бірақ оларды өздері болып табылатын нәрсе үшін пайдаланыңыз: қандай шеткі нүктелер қосылатынын және туннельдің қалай құрылатынын айтудың қысқа жолы. Біреуін екіншісін жоққа шығару үшін пайдаланған сәтте сипаттама ештеңені сипаттауды тоқтатады.