Firwat SSL VPN a Site-to-Site VPN keng Géigesätz sinn
SSL VPN a Site-to-Site beschreiwen ënnerschiddlech Achsen: wien sech dem Netzwierk ugeschloss huet a wéi den Tunnel gebaut gëtt. Béides zesummen ze nennen ass e Kategorie-Fehler.
Frot zwee Administrateuren deeselwechte VPN ze beschreiwen, an deen een äntwert vläicht „SSL VPN“, während deen aneren „Site-to-Site“ seet, wéi wann déi zwee Konkurrenzoptiounen an engem Menü wieren. Et sinn Äntwerten op verschidde Froen, an se als Alternativen ze behandelen erzeugt Vergläicher, déi net geléist kënne ginn. Dat eng Etikett seet, wéi Endpunkten verbonne ginn; dat anert seet, wat den Traffic tëscht hinnen dréit. Halt d'Achsen auseneen, an de gréissten Deel vun der Diskussioun verschwënnt.
Zwee Etiketten, zwee getrennte Froen
D'Topologie äntwert, wien sech mat wat verbënnt. En Design fir Fernzougrëff verbënnt eenzel Benotzer oder Apparater mat engem Gateway, normalerweis mat Identitéit pro Benotzer an engem Pool vun Adressen. En Design fir Site-to-Site verbënnt zwou Netzwierker iwwer Gateways, also ass déi interessant Identitéit de Peer-Gateway an net d'Persoun virun der Tastatur. Dat sinn ënnerschiddlech operationell Problemer, vun der Adressplanung bis dohinner, wien den Zougrëff um 2 Auer nuets entzéie kann.
De Mechanismus äntwert, wéi den Tunnel gebaut an authentifizéiert gëtt. IPsec mat IKEv2, e TLS-baséiert Produkt, dat IP an sech dréit, an en Applikatiounsportal, deen op de Browser ausgeriicht ass, si Mechanismuswahlen, an all huet seng eege Verhandlungen, Chiffer-Suiten a Fehlermodi. Keng dovun implizéiert eng Topologie, an eng Topologie wielt keen Mechanismus.
Setzt déi zwou Achsen an eng Tabell an d'Verwirrung gëtt sichtbar, well all Zell vum Gitter ka gefëllt ginn. Wat d'Gitter net ka maachen, ass Iech ze soen, wéi eng Kombinatioun Äre Fournisseur geliwwert huet, well Produktnimm béid Achsen an eng Marketingphrase zesummendrécken.
Wou de Kategorie-Fehler hierkënnt
Fournisseuren hunn „SSL VPN“ Joere laang als Géigendeel vu „IPsec VPN“ verkaaft, wat e Mechanismusvergläich wéi eng Topologiewahl ausgesinn huet. Den Ausdrock ass och op sengen eegene Konditiounen schlecht gealtert, well haiteg Designen ënnerstëtzt TLS-Versiounen notzen an den Numm SSL haaptsächlech als Produktkategorie iwwerlieft.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Aus deem selwechte Zesummendrécke follegen zwee verbonne Mythen. Den éischten ass, datt IPsec Site-to-Site bedeit; IKEv2 gouf och fir Client-zu-Gateway-Relatiounen entworfen, also kann een eenzelen Laptop mat IPsec bäitrieden. Den zweete ass, datt en TLS-baséiert Produkt just Fernzougrëff bedeit; OpenVPN gëtt reegelméisseg benotzt, fir Traffic tëscht zwou Siten ze dréien, an seng TLS-Benotzung konzentréiert sech op den Austausch vu Kontroll an Authentifizéierung an net op eng Browsersitzung.
En nëtzlechen Test fir all Beschreiwung: wann d'Ersetze vun engem Wuert souwuel d'Endpunkten wéi och de Protokoll ännert, vermëscht de Saz d'Achsen. „SSL VPN géint Site-to-Site“ besteet deen Test net, well den éischten Term eng Mechanismusfamill an den zweeten eng Topologie nennt.
Beschreift en Deploiement sou, datt en vergläichbar ass
Schreift véier Felder a fëllt se aus: Endpunkten, Mechanismus, Authentifizéierung an Zougrëffsfläch. Eng Filialverbindung kann als IKEv2-Gatewaypaar tëscht zwee genannten Prefixe mat Zertifikatsauthentifizéierung an ouni Portal op Benotzerniveau gelies ginn. En Fernzougrëffsservice kann als TLS-baséierte Client gelies ginn, deen Adressen pro Benotzer zouweist, bei der Umeldung en zweeten Faktor verlaangt a just eng intern DNS-Zon publizéiert.
Dës Sätz si vergläichbar op eng Manéier, wéi Produktnimm et net sinn. Zwee Fernzougrëffsdesignen kënnen un der selwechter Benotzerarbechtsweis an dem selwechte Widderruffwee gemooss ginn, an zwee Siten-zu-Siten-Designen un der selwechter Prefixlëscht, Trafficpolitik an Fehlerufuerderungen. D'Etiketten organiséieren de Verglach; si ersetzen en net.
D'Terminologie huet och en publizéierten Anker. Den IETF-Dokument iwwer VPN-Terminologie trennt verschidde Servicemodeller, dorënner Fernzougrëff a Site-to-Site, vun de Mechanismen, mat deene se gebaut ginn, an dat ass genau deen Ënnerscheed, deen ëmmer nees verluer geet.
Liest de verhandelte Protokoll, net den Produktnumm
D'Etikett op der Këscht bestëmmt net, op wat en Tunnel am Laf sech eens gouf. Frot de Peer direkt, op der TLS-Säit, a liest d'Protokollversioun an de Chiffer, deen den Handshake erstallt huet, amplaz vun der Versioun an der Broschür.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefFir en IPsec-Gateway kënnt déi gläichwäerteg Observatioun aus der eegener Statusausgab vun der Implementatioun, déi déi benotzt IKE- an ESP-Virschläg melleet. Wéi och ëmmer, de Punkt ass dee selwechten: d'Mechanismusachs muss aus der lieweger Sitzung gelies ginn, well e Client an e Gateway sech no ënnen op eppes Alegen einmeen kënnen, wéi ee vun de béiden Administrateuren erwaart huet.
ipsec statusall | grep -E "IKE|ESP"Duerno bleiwen d'Froen, déi keen Etikett beäntwert. Wéi eng Protokollversiounen nach ugeholl ginn, wéi d'Identitéit vum Gateway validéiert gëtt, wéi eng Algorithmusset erlaabt ass, wien en bestëmmte Benotzer fir eng bestëmmte Ressource autoriséiert a wat den Zougrëff entzitt, wann en Apparat verluer geet. En Topologieschema an en Mechanismusnumm sinn den Ufank vun där Lëscht, keen Ersatz dofir.
Behält also déi zwou Etiketten, awer benotzt se fir dat, wat se sinn: eng kuerz Manéier ze soen, wéi Endpunkten verbonne ginn a wéi den Tunnel gebaut gëtt. An deem Moment, wou een dovu benotzt gëtt, fir dat anert auszeschléissen, huet d'Beschreiwung opgehalen eppes ze beschreiwen.