Koncentratorius ar tarpinė? Kur jūsų kelyje yra VPN terminacija

Du tiekėjai tą patį įrenginį gali vadinti koncentratoriumi ir tarpine, ir nė vienas iš šių žodžių nepasakys, kur iššifruojamas srautas. Etiketės apibūdina diegimo vaidmenis, o ne protokolus, ir vaidmenys persidengia visomis kryptimis. Projektavimo peržiūroje svarbu įrenginys, kuris užbaigia tunelį, jo aplinkos kontrolė ir kelias, kuriuo eina iššifruota užklausa. Nuspręskite pagal šiuos tris dalykus, ir duomenų lapo daiktavardis nustos būti argumentu.

Dvi etiketės, vienas sprendimas

Koncentratorius paprastai reiškia centrinę sistemą, kuri vienu metu priima ir valdo daug ryšių, o žodis neša užuominą apie mastelį. Tarpinė yra platesnis terminas galiniam taškui, kuris jungia tunelį su už jo esančiais tinklais, ir gali apibūdinti maršrutizatorių, užkardą ar valdomą paslaugą. Nė vienas žodis neįvardija protokolo, ir nė vienas nežada konkretaus funkcijų rinkinio. Tą patį įrenginį du tiekėjai gali parduoti abiem pavadinimais, todėl terminologinis ginčas niekada neišsprendžiamas.

Elkitės su etikete kaip su numatomo naudojimo užuomina ir niekuo daugiau. Sprendimas priklauso funkcijoms, kurias galite patikrinti konfigūracijoje, o ne brošiūros žodžiams.

Raskite įrenginį, kuris iš tikrųjų užbaigia tunelį

Sekite kliento ryšį iš išorės į vidų. Kažkas priima transportą, kažkas autentifikuoja partnerį, kažkas suteikia klientui adresą, kažkas leidžia paskirties vietą, ir kažkas užtikrina grįžtamąjį maršrutą. Šios penkios funkcijos gali būti viename įrenginyje arba penkiuose, ir vienintelis naudingas klausimas yra, kuris įrenginys ką daro. Aukštesnis maršrutizatorius gali pernešti išorinius paketus niekada jų neiššifruodamas, ir būtent tai yra atvejis, kai topologijos schema nukreipia peržiūros autorių įvardyti netinkamą įrenginį.

Patvirtinkite užbaigimą pačiame kandidateo ne iš brėžinio. Laukiamame prievade klausantis lizdas kartu su nustatytu būsenos įrašu yra stipresnis įrodymas nei tinklo schema, o abiejų nebuvimas yra dar stipresnis.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Spręskite pagal penkias savybes, o ne pagal produkto pavadinimą

Penkios savybės atskiria kandidatus, ir į kiekvieną galima atsakyti iš dokumentacijos, o ne iš rinkodaros. Kokius VPN vaidmenis palaiko ši laida, kokius tapatybės šaltinius gali naudoti, kokią peradresavimo apimtį leidžia, kokį pajėgumą atlaiko ir kaip elgiasi gedimo metu. Paprašykite tų penkių raštu, ir etiketė taps sprendimui nesvarbi.

Pajėgumas yra savybė, kurią koncentratoriaus etiketė labiausiai implikuoja, ir ji dažniausiai paliekama neapibrėžta. Vienalaikiškumo ribos, pralaidumas vienam tuneliui ir bendras pralaidumas yra trys skirtingi skaičiai, ir įrenginys gali būti dosnus viename ir šykštus kitame. Aukštas prieinamumas yra poros, o ne kurio nors įrenginio savybė, ir jis priklauso atkūrimo klausimui. Mastelį implikuojanti etiketė nėra mastelio specifikacija.

Atkūrimas priklauso tam pačiam pokalbiui. Paklauskite, kaip administratorius pasiekia įrenginį, kai pats tunelis yra sugedusi dalis, nes kelias už juostos ribų yra projektavimo sprendimas, o ne priedas.

Patikrinkite įrodymus prieš etiketę

Dabartinė paslauga turėtų būti vertinama pagal palaikomus vaidmenis, tapatybės politiką, peradresavimo apimtį, pajėgumą ir atkūrimo elgseną, o atsakymai turi būti būdingi versijai, kurią diegtumėte. Istorinė apžvalga gali paaiškinti, kodėl egzistuoja žodis koncentratorius, bet negali pasakyti, ką palaiko dabartinė laida.Cisco VPN apžvalgayra būtent todėl naudingas terminologinis kontekstas, o vertinti ją kaip dabartinį funkcijų sąrašą yra būdas, kuriuo projektavimo peržiūra pakrypsta ne ta linkme.

Tada patikrinkite vieną teiginį nuo pradžios iki galo. Pasirinkite svarbiausią savybę, pavyzdžiui, pralaidumą vienam tuneliui arba perjungimo laiką, ir prašykite matavimo metodo, o ne skaičiaus. Greitas vietinis patikrinimas, ką įrenginys iš tikrųjų rodo, yra pagrįsta pradžia.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux sistemoje pirmoji eilutė skaičiuoja saugos asociacijas, o tunelis paprastai turi dvi, po vieną kiekvienai krypčiai, todėl prieš lygindami su tunelio teiginiu skaičių perpus sumažinkite. strongSwan pagrindiniame kompiuteryje antroji eilutė tiesiogiai įvardija tunelius. Lizdų skaičiavimas to nepakeičia: IPsec NAT-T palaiko vieną bendrą UDP 4500 lizdą visiems tuneliams, todėl lizdų skaičiavimas tame prievade duoda nulį arba vieną, kad ir kiek tunelių būtų. Nė viena eilutė nėra pralaidumo matavimas, ir nė viena nenuspėja elgsenos esant apkrovai. Jos duoda vienetą, apie kurį reikia klausti, o tiekėjas, galintis aprašyti metodą, turi specifikaciją ten, kur negalintis turi brošiūrą.

Užrašykite kelią, ir etiketės nustos turėti reikšmės

Aprašykite architektūrą kaip funkcijų su savininkais sąrašą: užbaigimas, autentifikavimas, adresų skyrimas, autorizavimas, grįžtamasis maršrutizavimas, registravimas ir atkūrimas. Šis aprašymas išlieka po produkto pervadinimo, tiekėjo pasikeitimo ir įsigijimo, ir nė vienas jų neatnaujins jūsų schemos.

Kartą per ketvirtį peržiūrėkite jį lygindami su realia kliento sesija, nes funkcija gali persikelti niekam nepakeitus brėžinio. Etiketės vis keisis, o savininkų sąrašas išliks tuo, kas iš tikrųjų paaiškina tinklą.