컨센트레이터인가 게이트웨이인가 — 경로 위의 VPN 종단 지점 찾기

두 공급업체가 같은 장비를 컨센트레이터라고도 게이트웨이라고도 부를 수 있으며, 두 단어 어느 것도 트래픽이 어디에서 복호화되는지 알려 주지 않습니다. 라벨이 설명하는 것은 프로토콜이 아니라 배포 역할이고, 그 역할은 모든 방향으로 겹칩니다. 설계 검토에서 중요한 것은 터널을 종단하는 장치, 그 주변의 통제, 그리고 복호화된 요청이 지나는 경로입니다. 이 세 가지로 결정하면 데이터시트의 명사는 더 이상 논쟁거리가 되지 않습니다.

두 라벨, 하나의 결정

컨센트레이터는 보통 많은 연결을 동시에 받아 관리하는 중앙 시스템을 뜻하며, 그 단어에는 규모라는 함의가 실려 있습니다. 게이트웨이는 터널을 뒤쪽 네트워크에 연결하는 종단점을 가리키는 더 넓은 용어이며, 라우터나 방화벽, 관리형 서비스를 설명할 수도 있습니다. 어느 단어도 프로토콜을 지목하지 않고, 어느 것도 특정 기능 집합을 약속하지 않습니다. 같은 장비를 두 공급업체가 두 이름으로 판매할 수 있고, 용어 논쟁이 끝나지 않는 이유가 여기에 있습니다.

라벨은 의도된 용도의 단서로만 받아들이십시오. 결정은 구성에서 확인할 수 있는 기능에 속하며, 안내서의 단어에 속하지 않습니다.

실제로 종단하는 장치를 찾으십시오

클라이언트 연결을 바깥에서 안쪽으로 따라가십시오. 무언가가 전송을 받아들이고, 무언가가 상대를 인증하며, 무언가가 클라이언트에 주소를 주고, 무언가가 목적지를 허가하며, 무언가가 되돌아가는 경로를 제공합니다. 이 다섯 기능은 한 장치에 있을 수도 다섯 곳에 나뉠 수도 있으며, 쓸모 있는 질문은 어느 장치가 무엇을 맡는가입니다. 상류 라우터가 바깥 패킷을 한 번도 복호화하지 않고 실어 나를 수 있고, 토폴로지 그림이 검토자를 잘못된 장비 지목으로 끌고 가는 경우가 바로 그런 때입니다.

종단은 후보 자체에서 확인하십시오그림에서가 아니라. 예상한 포트에서 수신하는 소켓과 성립된 상태 항목이 함께 있으면 네트워크 그림보다 강한 증거이며, 둘 다 없으면 더 강한 증거입니다.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

제품 이름이 아니라 다섯 가지 속성으로 결정하십시오

다섯 속성이 후보를 구분하며, 각각은 마케팅이 아니라 문서에서 답할 수 있습니다. 이 릴리스가 지원하는 VPN 역할, 사용할 수 있는 신원 원천, 허용하는 전달 범위, 감당하는 용량, 장애 시의 동작입니다. 이 다섯을 서면으로 요구하면 라벨은 결정에 무관해집니다.

용량은 컨센트레이터라는 라벨이 가장 강하게 함의하는 속성이며, 가장 자주 모호하게 남는 속성이기도 합니다. 동시성 한계, 터널당 처리량, 전체 처리량은 서로 다른 세 수이고, 한 장치가 한쪽에서는 넉넉하고 다른 쪽에서는 인색할 수 있습니다. 고가용성은 어느 한 장비가 아니라 쌍의 속성이며 복구 질문에 속합니다. 규모를 암시하는 라벨은 규모의 명세가 아닙니다.

복구는 같은 대화에 속합니다. 터널 자체가 고장 난 구성 요소일 때 관리자가 장치에 어떻게 도달하는지 물으십시오. 대역 밖 경로는 부속품이 아니라 설계 결정입니다.

라벨보다 증거를 먼저 확인하십시오

현재의 서비스는 지원 역할, 신원 정책, 전달 범위, 용량, 복구 동작으로 평가해야 하며, 답은 도입하려는 버전에 특정해야 합니다. 역사적 개요는 컨센트레이터라는 단어가 왜 생겼는지 설명할 수 있지만, 현재 릴리스가 무엇을 지원하는지는 알려 주지 못합니다.Cisco VPN 개요는 바로 그 이유로 유용한 용어 맥락이며, 이것을 현재의 기능 목록으로 다루는 것이 설계 검토를 어긋나게 하는 방식입니다.

다음으로 한 가지 주장을 처음부터 끝까지 검증하십시오. 터널당 처리량이나 전환 시간처럼 가장 중요한 속성을 고르고, 숫자가 아니라 측정 방법을 요구하십시오. 장치가 실제로 무엇을 보여 주는지 빠르게 확인하는 것이 합리적인 출발점입니다.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux에서 첫 줄은 보안 연계를 세며, 터널에는 보통 둘, 방향마다 하나가 있습니다. 따라서 터널 주장과 비교하기 전에 수를 절반으로 줄이십시오. strongSwan 호스트에서는 둘째 줄이 터널을 직접 지목합니다. 소켓 수는 대안이 아닙니다. IPsec NAT-T는 모든 터널이 공유하는 단일 UDP 4500 소켓을 유지하므로, 그 포트에서 소켓을 세면 터널이 몇 개든 영 또는 일이 나옵니다. 어느 줄도 처리량 측정이 아니고, 부하 상태의 동작을 예측하지도 않습니다. 이들이 주는 것은 물어야 할 단위이며, 방법을 설명할 수 있는 공급업체에는 명세가 있고 그렇지 못한 공급업체에는 안내서가 있습니다.

경로를 적어 두면 라벨은 문제가 되지 않습니다

아키텍처를 담당자가 붙은 기능 목록으로 기술하십시오. 종단, 인증, 주소 할당, 허가, 되돌아가는 경로 제어, 기록, 복구입니다. 이 기술은 제품명 변경, 공급업체 교체, 인수를 견디며, 그중 어느 것도 그림을 갱신해 주지 않습니다.

분기에 한 번 실제 클라이언트 세션과 대조해 검토하십시오. 누구도 그림을 고치지 않은 채 기능이 옮겨 갈 수 있기 때문입니다. 라벨은 계속 바뀌고, 담당자 목록은 네트워크를 실제로 설명하는 것으로 남습니다.