Koncentrators vai vārteja? Kur jūsu ceļā atrodas VPN terminators

Divi piegādātāji vienu un to pašu iekārtu var saukt par koncentratoru un vārteju, un neviens no šiem vārdiem nepateiks, kur tiek atšifrēta plūsma. Etiķetes raksturo izvietošanas lomas, nevis protokolus, un lomas pārklājas visos virzienos. Projektēšanas pārskatā svarīga ir ierīce, kas pabeidz tuneli, kontrole ap to un ceļš, pa kuru iet atšifrēts pieprasījums. Izlemiet pēc šiem trim, un datu lapas lietvārds pārstās būt arguments.

Divas etiķetes, viens lēmums

Koncentrators parasti apzīmē centrālo sistēmu, kas vienlaikus pieņem un pārvalda daudzus savienojumus, un vārds nes sevī mēroga mājienu. Vārteja ir plašāks termins gala punktam, kas savieno tuneli ar aiz tā esošajiem tīkliem, un tā var raksturot maršrutētāju, ugunsmūri vai pārvaldītu pakalpojumu. Neviens vārds nenosauc protokolu, un neviens nesola noteiktu funkciju kopumu. Vienu un to pašu ierīci divi piegādātāji var pārdot ar abiem nosaukumiem, un tāpēc terminoloģijas strīds nekad netiek atrisināts.

Uztveriet etiķeti kā mājienu par paredzēto lietojumu un neko vairāk. Lēmums pieder funkcijām, ko varat pārbaudīt konfigurācijā, nevis brošūras vārdiem.

Atrodiet ierīci, kas patiešām pabeidz tuneli

Izsekojiet klienta savienojumam no ārpuses uz iekšu. Kaut kas pieņem transportu, kaut kas autentificē partneri, kaut kas piešķir klientam adresi, kaut kas atļauj galamērķi, un kaut kas nodrošina atgriešanās maršrutu. Šīs piecas funkcijas var būt vienā ierīcē vai piecās, un vienīgais lietderīgais jautājums ir, kura ierīce ko dara. Maršrutētājs augstāk var pārnēsāt ārējos paketes, tās nekad neatšifrējot, un tieši tas ir gadījums, kad topoloģijas shēma novirza recenzentu nosaukt nepareizo ierīci.

Apstipriniet pabeigšanu pašā kandidātānevis no zīmējuma. Klausoša ligzda paredzētajā portā kopā ar nodibinātu stāvokļa ierakstu ir spēcīgāks pierādījums par tīkla shēmu, un abu neesamība ir vēl spēcīgāka.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Izlemiet pēc piecām īpašībām, nevis produkta nosaukuma

Piecas īpašības atšķir kandidātus, un uz katru var atbildēt no dokumentācijas, nevis mārketinga. Kādas VPN lomas atbalsta šis izlaidums, kādus identitātes avotus tas var izmantot, kādu pārsūtīšanas apjomu tas atļauj, kādu jaudu tas iztur un kā tas uzvedas kļūmes gadījumā. Pieprasiet šīs piecas rakstiski, un etiķete lēmumam kļūst nenozīmīga.

Jauda ir īpašība, uz kuru koncentratora etiķete norāda visspēcīgāk, un tā visbiežāk paliek neskaidra. Vienlaicības ierobežojumi, caurlaidspēja uz vienu tuneli un kopējā caurlaidspēja ir trīs dažādi skaitļi, un ierīce var būt dāsna vienā un skopa otrā. Augsta pieejamība ir pāra, nevis kādas atsevišķas iekārtas īpašība, un tā pieder atkopšanas jautājumam. Etiķete, kas norāda uz mērogu, nav mēroga specifikācija.

Atkopšana pieder tai pašai sarunai. Pajautājiet, kā administrators nokļūst ierīcē, kad pats tunelis ir bojātā komponente, jo ceļš ārpus joslas ir projektēšanas lēmums, nevis piederums.

Pārbaudiet pierādījumus pirms etiķetes

Pašreizējais pakalpojums jāvērtē pēc atbalstītajām lomām, identitātes politikas, pārsūtīšanas apjoma, jaudas un atkopšanas uzvedības, un atbildēm jābūt raksturīgām versijai, ko izvietotu. Vēsturisks pārskats var izskaidrot, kāpēc pastāv vārds koncentrators, bet tas nevar pateikt, ko atbalsta pašreizējais izlaidums.Cisco VPN pārskatsir tieši tāpēc noderīgs terminoloģisks konteksts, un attieksme pret to kā pret aktuālu funkciju sarakstu ir veids, kā projektēšanas pārskats aiziet greizi.

Pēc tam pārbaudiet vienu apgalvojumu no sākuma līdz beigām. Izvēlieties svarīgāko īpašību, piemēram, caurlaidspēju uz vienu tuneli vai pārslēgšanās laiku, un pieprasiet mērīšanas metodi, nevis skaitli. Ātra vietēja pārbaude par to, ko ierīce patiešām parāda, ir saprātīgs sākums.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux pirmā rinda skaita drošības asociācijas, un tunelim parasti ir divas, pa vienai katram virzienam, tāpēc pirms salīdzināšanas ar tuneļa apgalvojumu skaitu sadaliet uz pusi. strongSwan resursdatorā otrā rinda tieši nosauc tuneļus. Ligzdu skaitīšana to neaizstāj: IPsec NAT-T uztur vienu kopīgu UDP 4500 ligzdu visiem tuneļiem, tāpēc ligzdu skaitīšana šajā portā dod nulli vai vienu, lai cik tuneļu būtu. Neviena rinda nav caurlaidspējas mērījums, un neviena neparedz uzvedību slodzē. Tās dod vienību, par ko jautāt, un piegādātājam, kas spēj aprakstīt metodi, ir specifikācija tur, kur nespējējam ir brošūra.

Pierakstiet ceļu, un etiķetes pārstās būt svarīgas

Aprakstiet arhitektūru kā funkciju sarakstu ar īpašniekiem: pabeigšana, autentifikācija, adrešu piešķiršana, autorizācija, atgriešanās maršrutēšana, reģistrēšana un atkopšana. Šis apraksts pārdzīvo produkta pārdēvēšanu, piegādātāja maiņu un iegādi, un neviens no tiem neatjauninās jūsu shēmu.

Reizi ceturksnī pārskatiet to pret reālu klienta sesiju, jo funkcija var pārvietoties, nevienam nelabojot zīmējumu. Etiķetes turpinās mainīties, un īpašnieku saraksts turpinās būt tas, kas patiešām izskaidro tīklu.