Kodėl SSL VPN ir VPN tarp svetainių nėra priešingybės
SSL VPN ir VPN tarp svetainių apibūdina skirtingas ašis: kas prisijungia prie tinklo ir kaip statomas tunelis. Abiejų vardijimas kartu yra kategorijų klaida.
Paprašykite dviejų administratorių apibūdinti tą patį VPN ir vienas gali atsakyti „SSL VPN“, o kitas pasakyti „tarp svetainių“, tarsi abu būtų konkuruojantys meniu variantai. Tai atsakymai į skirtingus klausimus, o elgimasis su jais kaip su alternatyvomis sukuria palyginimus, kurių neįmanoma išspręsti. Viena etiketė nurodo, kurie galiniai taškai sujungiami; kita – kas perneša srautą tarp jų. Laikykite ašis atskirai ir didžioji dalis ginčo išnyks.
Dvi etiketės, du atskiri klausimai
Topologija atsako, kas prie ko prisijungia. Nuotolinės prieigos sprendimas prijungia atskirus naudotojus ar įrenginius prie šliuzo, paprastai su kiekvieno naudotojo tapatybe ir adresų telkiniu. Sprendimas tarp svetainių sujungia du tinklus per šliuzus, todėl įdomi tapatybė yra partnerio šliuzas, o ne žmogus prie klaviatūros. Tai skirtingos eksploatavimo problemos – nuo adresų planavimo iki to, kas gali atšaukti prieigą 2 valandą nakties.
Mechanizmas atsako, kaip statomas ir autentifikuojamas tunelis. IPsec su IKEv2, TLS pagrindu veikiantis produktas, kuris viduje perneša IP, ir naršyklei skirtas programų portalas yra mechanizmo pasirinkimai, ir kiekvienas turi savo derybas, šifrų rinkinius ir gedimų režimus. Nė vienas jų neimplikuoja topologijos, o topologija nepasirenka mechanizmo.
Sudėkite dvi ašis į vieną lentelę ir sumaištis taps matoma, nes kiekviena tinklelio ląstelė gali būti užpildyta. Ko lentelė negali padaryti, tai pasakyti, kokią kombinaciją pristatė jūsų tiekėjas, nes produktų pavadinimai abi ašis sutraukia į vieną rinkodaros frazę.
Iš kur kyla kategorijų klaida
Tiekėjai metų metus pardavinėjo „SSL VPN“ kaip „IPsec VPN“ priešingybę, todėl mechanizmų palyginimas atrodė kaip topologijos pasirinkimas. Fraze taip pat prastai paseno pagal savo pačios sąlygas, nes dabartiniai sprendimai naudoja palaikomas TLS versijas, o SSL vardas išlieka daugiausia kaip produktų kategorija.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Iš to paties sutraukimo kyla du susiję mitai. Pirmasis – kad IPsec reiškia tarp svetainių; IKEv2 buvo sukurtas ir kliento–šliuzo santykiams, todėl atskiras nešiojamasis kompiuteris gali prisijungti su IPsec. Antrasis – kad TLS pagrindu veikiantis produktas reiškia tik nuotolinę prieigą; OpenVPN įprastai naudojamas pernešti srautą tarp dviejų svetainių, o jo TLS naudojimas sutelktas į valdymo ir autentifikavimo mainus, o ne į naršyklės sesiją.
Naudingas bet kurio aprašymo testas: jei pakeitus vieną žodį pasikeičia ir galiniai taškai, ir protokolas, sakinys maišo ašis. „SSL VPN palyginti su tarp svetainių“ šio testo nepraeina, nes pirmasis terminas įvardija mechanizmų šeimą, o antrasis – topologiją.
Aprašykite diegimą taip, kad jį būtų galima palyginti
Parašykite keturis laukus ir juos užpildykite: galiniai taškai, mechanizmas, autentifikavimas ir prieigos paviršius. Filialo jungtis gali būti skaitoma kaip IKEv2 šliuzų pora tarp dviejų įvardytų prefiksų su sertifikato autentifikavimu ir be naudotojo lygio portalo. Nuotolinės prieigos paslauga gali būti skaitoma kaip TLS pagrindu veikiantis klientas, kuris priskiria adresus kiekvienam naudotojui, reikalauja antrojo veiksnio prisijungiant ir skelbia tik vidinę DNS zoną.
Tie sakiniai yra palyginami taip, kaip produktų pavadinimai nėra. Du nuotolinės prieigos sprendimai gali būti matuojami pagal tą pačią naudotojo darbo eigą ir tą patį atšaukimo kelią, o du sprendimai tarp svetainių – pagal tą patį prefiksų sąrašą, srauto politiką ir gedimų reikalavimus. Etiketės organizuoja palyginimą; jos jo nepakeičia.
Terminologija taip pat turi paskelbtą atramą. IETF VPN terminologijos dokumentas atskiria kelis paslaugų modelius, įskaitant nuotolinę prieigą ir ryšį tarp svetainių, nuo mechanizmų, kuriais jie statomi, ir tai yra būtent tas skirtumas, kuris nuolat pametamas.
Skaitykite suderėtą protokolą, o ne produkto pavadinimą
Etiketė ant dėžutės nenustato, dėl ko susitarė veikiantis tunelis. Paklauskite partnerio tiesiogiai TLS pusėje ir perskaitykite protokolo versiją bei šifrą, kuriuos sukūrė rankos paspaudimas, o ne versiją brošiūroje.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec šliuzui lygiavertis stebėjimas gaunamas iš pačios įgyvendinimo būsenos išvesties, kuri praneša apie naudojamus IKE ir ESP pasiūlymus. Bet kuriuo atveju esmė ta pati: mechanizmo ašis turi būti skaitoma iš gyvos sesijos, nes klientas ir šliuzas gali susiderėti dėl kažko senesnio, nei tikėjosi bet kuris administratorius.
ipsec statusall | grep -E "IKE|ESP"Po to lieka klausimai, į kuriuos neatsako jokia etiketė. Kurios protokolo versijos dar priimamos, kaip tikrinama šliuzo tapatybė, koks algoritmų rinkinys leidžiamas, kas suteikia konkrečiam naudotojui teisę į konkretų išteklių ir kas atšaukia prieigą, kai įrenginys pametamas. Topologijos schema ir mechanizmo pavadinimas yra to sąrašo pradžia, o ne pakaitalas.
Taigi laikykite dvi etiketes, bet naudokite jas tam, kuo jos yra: trumpas būdas pasakyti, kurie galiniai taškai sujungiami ir kaip statomas tunelis. Tą akimirką, kai viena naudojama kitai atmesti, aprašymas nustoja ką nors aprašyti.