Эмне үчүн SSL VPN менен сайт-сайт VPN бири-бирине карама-каршы эмес
SSL VPN менен сайт-сайт VPN ар башка окторду сүрөттөйт: ким тармакка кошулат жана туннель кантип курулат. Экөөнү бирге атоо — категория катасы.
Эки администратордон бир эле VPNди сүрөттөөнү сураңыз, бири «SSL VPN» деп жооп бериши мүмкүн, экинчиси «сайт-сайт» дейт, экөө менюдагы атаандаш варианттардай. Бул ар башка суроолорго берилген жооптор, жана аларды альтернатива катары кароо чечилбеген салыштырууларды жаратат. Бир белги кайсы учкуч чекиттер биригет десе, экинчиси алардын ортосунда трафикти эмне ташыйт дейт. Окторду өзүнчө кармаңыз, талаштын көбү жоголот.
Эки белги, эки өзүнчө суроо
Топология ким эмнеге кошулат дегенге жооп берет. Алыстан кирүү долбоору жеке колдонуучуларды же түзмөктөрдү шлюзга туташтырат, адатта колдонуучуга жараша идентификация жана даректер пулу менен. Сайт-сайт долбоору эки тармакты шлюздер аркылуу бириктирет, ошондуктан кызыктуу идентификация — өнөктөш шлюз, клавиатуранын алдындагы адам эмес. Бул ар башка операциялык маселелер: даректерди пландоодон тартып түнкү саат 2де ким кирүүнү жокко чыгара аларына чейин.
Механизм туннелдин кантип курулушун жана аутентификацияланышын сүрөттөйт. IKEv2 менен IPsec, ичинде IP ташыган TLS негизиндеги продукт жана браузерге багытталган колдонмо порталы — механизм тандоолору, жана ар биринин өз сүйлөшүүлөрү, шифр топтомдору жана ийгиликсиздик режимдери бар. Алардын бири да топологияны билдирбейт, ал эми топология механизмди тандабайт.
Эки окту бир таблицага салыңыз, башаламандык көрүнөт, анткени тордун ар бир уячасын толтурууга болот. Таблица жасай албаган нерсе — жеткирүүчүңүз кайсы айкалышты жөнөткөнүн айтуу, анткени продукт аттары эки окту бир маркетингтик сүйлөмгө кысат.
Категория катасы кайдан келет
Жеткирүүчүлөр жылдар бою «SSL VPN»ди «IPsec VPN»дин карама-каршысы катары сатышкан, бул механизмдерди салыштырууну топология тандоосуна окшоткон. Сүйлөм өз шарттары боюнча да начар эскирди, анткени азыркы долбоорлор колдоого алынган TLS версияларын колдонушат жана SSL аталышы негизинен продукт категориясы катары калды.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Ошол эле кысуудан эки байланыштуу миф келип чыгат. Биринчиси — IPsec сайт-сайт дегенди билдирет; IKEv2 клиент-шлюз мамилелери үчүн да жасалган, ошондуктан жеке ноутбук IPsec аркылуу кошула алат. Экинчиси — TLS негизиндеги продукт алыстан кирүүнү гана билдирет; OpenVPN эки сайттын ортосунда трафик ташуу үчүн үзгүлтүксүз колдонулат, жана анын TLS колдонулушу браузер сессиясында эмес, башкаруу жана аутентификация алмашуусунда топтолгон.
Ар кандай сүрөттөмө үчүн пайдалуу сыноо: бир сөздү алмаштыруу учкуч чекиттерди да, протоколду да өзгөртсө, сүйлөм окторду аралаштырат. «SSL VPN сайт-сайтка каршы» бул сыноодон өтпөйт, анткени биринчи термин механизмдер үй-бүлөсүн, экинчиси топологияны атайт.
Жайгаштырууну салыштырууга боло тургандай сүрөттөңүз
Төрт талаа жазып, толтуруңуз: учкуч чекиттер, механизм, аутентификация жана кирүү бети. Филиал байланышын эки аталган префикстин ортосунда сертификаттык аутентификация менен жана колдонуучу деңгээлиндеги порталсыз IKEv2 шлюз жупундай окууга болот. Алыстан кирүү кызматын ар бир колдонуучуга дарек бөлүштүргөн, кирүүдө экинчи факторду талап кылган жана ички DNS зонасын гана жарыялаган TLS негизиндеги клиент катары окууга болот.
Бул сүйлөмдөр продукт аттарында жок ыкма менен салыштырууга келет. Эки алыстан кирүү долбоорун бир колдонуучу жумуш агымына жана бир кайтарып алуу жолуна каршы өлчөөгө болот, ал эми эки сайт аралык долбоорду бир префикстер тизмесине, трафик саясатына жана ийгиликсиздик талаптарына каршы. Белгилер салыштырууну уюштурат; анын ордун баспайт.
Терминологиянын жарыяланган таянычы да бар. IETFдин VPN терминология документи алыстан кирүүнү жана сайт-сайтты кошкондо, бир нече кызмат моделин аларды курууда колдонулуучу механизмдерден бөлөт, жана бул так дайыма жоголуп турган айырма.
Келишилген протоколду окуңуз, продукт атын эмес
Кутудагы белги иштеп жаткан туннелдин эмнеге макулдашканын аныктабайт. Өнөктөштөн түз, TLS жагында сураңыз, жана брошюрадагы версиянын ордуна кол алышуу чыгарган протокол версиясын жана шифрди окуңуз.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec шлюзу үчүн барабар байкоо ишке ашыруунун өз абал чыгышынан келет, ал колдонулуп жаткан IKE жана ESP сунуштарын билдирет. Кандай болбосун, мааниси бир: механизм огун тирүү сессиядан окуу керек, анткени клиент менен шлюз эки администратор күткөндөн эскирээк нерсеге чейин келишип алышы мүмкүн.
ipsec statusall | grep -E "IKE|ESP"Андан кийин калган суроолор — эч бир белги жооп бербеген суроолор. Кайсы протокол версиялары али кабыл алынат, шлюздун идентификациясы кантип текшерилет, кайсы алгоритмдер топтомуна жол берилет, ким белгилүү колдонуучуну белгилүү ресурска укуктандырат жана түзмөк жоголгондо кирүүнү эмне жокко чыгарат. Топология диаграммасы жана механизм аты ошол тизменин башталышы, анын ордун басуучу эмес.
Ошондуктан эки белгини кармаңыз, бирок аларды өздөрү болгон нерсе үчүн колдонуңуз: кайсы учкуч чекиттер биригет жана туннель кантип курулат деп айтуунун кыска жолу. Бирөөнү экинчисин жокко чыгаруу үчүн колдонгон учурда сүрөттөмө эч нерсени сүрөттөөнү токтотот.