Konzentrator oder Gateway? Wou de VPN-Terminator op Ärem Wee läit

Zwee Liwweranten dierfe sech déiselwecht Këscht Konzentrator an Gateway nennen, an keent vun deenen zwee Wierder wäert Iech soen, wou den Trafic décryptéiert gëtt. D'Etiketten beschreiwen Ausrollrollen an net Protokoller, an d'Rolle iwwerschneide sech an all Richtung. Fir eng Designprüfung zielt d'Apparat, deen den Tunnel terminéiert, d'Kontrollen ronderëm an de Wee, deen eng décryptéiert Ufro hëlt. Entscheet Iech op deenen dräi, an d'Substantiv op dem Dateblat hält op en Argument ze sinn.

Zwou Etiketten, eng Entscheedung

E Konzentrator heescht normalerweis de zentrale System, dee vill Verbindunge gläichzäiteg unhëlt a verwealt, an d'Wuert dréit eng Andeitung vu Skal. E Gateway ass den Ausdrock méi wäit gefaasst fir en Endpunkt, deen en Tunnel mat den Netzwierker hannendrun verbënnt, an et kann en Router, eng Firewall oder en geréierte Service beschreiwen. Kee vun de Wierder nennt e Protokoll, a keent versprécht eng bestëmmte Funktiounsset. Déiselwecht Apparat ka vun zwee Liwweranten ënner béiden Nimm verkaaft ginn, an dofir gëtt d'Terminologiedebatt ni geléist.

Hält d'Etikett als Hiweis op de virgesäine Gebrauch an net méi. D'Entscheedung gehéiert zu de Funktiounen, déi Dir an der Konfiguratioun ka préiwen, an net zu de Wierder an der Broschür.

Fannt d'Apparat, deen tatsächlech terminéiert

Follegt enger Clientverbindung vu baussen no bannen. Eppes hëlt den Transport un, eppes authentifizéiert de Géigeniwwer, eppes gëtt dem Client eng Adress, eppes autoriséiert en Zil, an eppes liwwert en Zréckwee. Déi fënnef Funktiounen kënnen op engem Apparat oder op fënnef sinn, an déi eenzeg nëtzlech Fro ass, wéi eng Apparat wat mécht. En Router méi uewen kann déi baussenzeg Pakete droen, ouni se je ze décryptéieren, an dat ass genee de Fall, wou en Topologieschema e Prüfer dozou bréngt, déi falsch Këscht ze nennen.

Bestätegt d'Terminatioun um Kandidat selweran net aus dem Zeechnung. En Socket, deen um erwaarten Port lauschtert, plus eng etabléiert Zoustandsentrée, ass e méi staarkt Beweis wéi en Netzwierkschema, an d'Fehlen vun béiden ass nach méi staark.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Entscheet Iech op fënnef Eegeschaften, net op dem Produktnumm

Fënnef Eegeschaften trennen d'Kandidaten, an all eenzel ass aus der Dokumentatioun ze beäntwerten an net aus dem Marketing. Wéi eng VPN-Rollen dës Verëffentlechung ënnerstëtzt, wéi eng Identitéitsquellen se benotze kann, wéi ee Weiderleeungsberäich se erlaabt, wéi vill Kapazitéit se hält, a wéi se sech beim Feeler behëlt. Frot déi fënnef schrëftlech, an d'Etikett gëtt fir d'Entscheedung irrelevant.

D'Kapazitéit ass d'Eegenschaft, op déi d'Konzentrator-Etikett am stäerkste hiweist, an déi am dackste vague bleift. D'Grenze vun der Gläichzäitegkeet, den Duerchset pro Tunnel an den Gesamtduerchset sinn dräi verschidde Zuelen, an eng Apparat ka generéis an deem engen a géiz an deem aneren sinn. Héich Disponibilitéit ass eng Eegenschaft vum Pair an net vun enger vun de Këschten, an et gehéiert zu der Fro vum Erhuelen. Eng Etikett, déi Skal suggeréiert, ass keng Spezifikatioun vu Skal.

D'Erhuelung gehéiert zu demselwechte Gespréich. Frot, wéi en Administrateur d'Apparat erreecht, wann den Tunnel selwer de futtisse Komponent ass, well en Out-of-Band-Wee eng Designentscheedung an net en Accessoire ass.

Préift d'Beweiser virun der Etikett

En aktuelle Service soll op ënnerstëtzte Rollen, Identitéitspolitik, Weiderleeungsberäich, Kapazitéit an Erhuelungsverhalen bewäert ginn, mat Äntwerten, déi spezifesch fir d'Versioun sinn, déi Dir ausrolle wäert. Eng historesch Iwwersiicht kann erklären, firwat d'Wuert Konzentrator existéiert, awer se kann Iech net soen, wat eng aktuell Versioun ënnerstëtzt.Cisco VPN Iwwersiichtass genee dofir en nëtzlechen terminologesche Kontext, an et als aktuell Funktiounslëscht ze behandelen ass de Wee, wéi eng Designprüfung schief geet.

Verifizéiert dann eng Behauptung vun Ufank bis Enn. Wielt d'Eegenschaft, déi am meeschte zielt, wéi den Duerchset pro Tunnel oder d'Failover-Zäit, a frot no der Moossmethod an net no der Zuel. Eng séier lokal Kontroll vun deem, wat d'Apparat tatsächlech weist, ass en raisonnabele Start.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Op Linux zielt déi éischt Linn Sécherheetsassociatiounen, an en Tunnel huet normalerweis zwou dovun, eng pro Richtung, also halvéiert d'Zuel, ier Dir se mat enger Tunnelbehaaptung vergläicht. Op engem strongSwan-Host nennt déi zweet Linn d'Tunnelen direkt. Eng Socketzuel ass keen Ersatz: IPsec NAT-T hält een eenzegen UDP 4500-Socket, deen all Tunnel deelt, also gëtt d'Zielen vu Sockete op deem Port null oder eent, egal wéi vill Tunnelen et gëtt. Keng vun de Linne ass eng Duerchsetmooss, a keng vun hinnen kann d'Verhalen ënner Laascht viraussoen. Si ginn Iech d'Eenheet, no där Dir froe musst, an e Liwwerant, deen d'Method beschreiwë kann, huet eng Spezifikatioun, wou een, deen et net kann, eng Broschür huet.

Schreift de Wee op, an d'Etikette sinn net méi wichteg

Beschreift d'Architektur als Lëscht vu Funktiounen mat Verantwortlechen: Terminatioun, Authentifizéierung, Adressverdeelung, Autoriséierung, Zréckrouting, Protokollféierung an Erhuelung. Déi Beschreiwung iwwerlieft eng Produktëmbenennung, e Liwwerantwiessel an eng Acquisitioun, an keen dovun aktualiséiert Äre Schema.

Iwwerpréift se géint eng richteg Clientsitzung eemol am Quartal, well eng Funktioun sech ka beweegen, ouni dass een de Zeechnung ännert. D'Etikette wäerte weider änneren, an d'Lëscht vun de Verantwortlechen wäert weider dat sinn, wat d'Netzwierk tatsächlech erkläert.