Концентратор или порта? Каде е VPN-терминаторот на вашата патека

Два добавувачи можат истиот уред да го наречат концентратор и порта, и ниту еден од тие зборови нема да ви каже каде се дешифрира сообраќајот. Ознаките опишуваат распоредни улоги, а не протоколи, и улогите се преклопуваат во сите правци. За преглед на дизајнот важно е уредот што го завршува тунелот, контролите околу него и патеката по која оди дешифрираното барање. Одлучете според тие три, и именката на листот со податоци престанува да биде аргумент.

Две ознаки, една одлука

Концентраторот обично означува централен систем што прима и управува со многу врски одеднаш, и зборот носи навестување за размер. Портата е поширок поим за крајна точка што го поврзува тунелот со мрежите зад него, и може да опише рутер, огнен ѕид или управувана услуга. Ниту еден збор не именува протокол, и ниту еден не ветува определен збир функции. Истиот уред два добавувачи можат да го продаваат под двете имиња, и затоа терминологиската расправа никогаш не се решава.

Третирајте ја ознаката како навестување за предвидената употреба и ништо повеќе. Одлуката им припаѓа на функциите што можете да ги проверите во конфигурацијата, а не на зборовите во брошурата.

Најдете го уредот што навистина го завршува тунелот

Следете ја врската на клиентот однадвор навнатре. Нешто го прима транспортот, нешто го автентицира партнерот, нешто му доделува адреса на клиентот, нешто ја одобрува дестинацијата, и нешто обезбедува повратна рута. Тие пет функции можат да живеат на еден уред или на пет, и единственото корисно прашање е кој уред што прави. Рутер повисоко може да ги пренесува надворешните пакети без никогаш да ги дешифрира, и токму тоа е случајот кога тополошката шема го наведува рецензентот да го именува погрешниот уред.

Потврдете го завршувањето на самиот кандидата не од цртежот. Слушачки сокет на очекуваниот порт заедно со воспоставен запис за состојба е посилен доказ од мрежна шема, а отсуството на двете е уште посилно.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Одлучете според пет својства, а не според името на производот

Пет својства ги раздвојуваат кандидатите, и на секое може да се одговори од документацијата, а не од маркетингот. Кои VPN улоги ги поддржува ова издание, кои извори на идентитет може да ги користи, кој опсег на препраќање го дозволува, каков капацитет издржува и како се однесува при отказ. Побарајте ги тие пет писмено, и ознаката станува неважна за одлуката.

Капацитетот е својството што ознаката концентратор најсилно го навестува, и тоа најчесто останува неодредено. Ограничувањата на истовременост, пропусноста по тунел и вкупната пропусност се три различни броја, и уредот може да биде дарежлив во едното и скржав во другото. Високата достапност е својство на парот, а не на кој било од уредите, и припаѓа на прашањето за обновување. Ознака што навестува размер не е спецификација на размер.

Обновувањето припаѓа на истиот разговор. Прашајте како администраторот стигнува до уредот кога самиот тунел е расипаната компонента, зашто патеката надвор од опсегот е дизајнерска одлука, а не додаток.

Проверете ги доказите пред ознаката

Тековната услуга треба да се оценува според поддржаните улоги, политиката за идентитет, опсегот на препраќање, капацитетот и однесувањето при обновување, со одговори специфични за верзијата што би ја распоредиле. Историскиот преглед може да објасни зошто постои зборот концентратор, но не може да ви каже што поддржува тековното издание.Преглед на Cisco VPNе корисен терминолошки контекст токму поради тоа, а третирањето како тековен список на функции е начинот на кој прегледот на дизајнот оди наопаку.

Потоа потврдете едно тврдење од почеток до крај. Изберете го најважното својство, како пропусноста по тунел или времето на префрлање, и побарајте го методот на мерење, а не бројот. Брза локална проверка на тоа што уредот навистина го покажува е разумен почеток.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

На Linux првата линија ги брои безбедносните асоцијации, а тунелот обично има две, по една за секој правец, па преполовете го бројот пред да го споредите со тврдење за тунел. На домаќин со strongSwan втората линија директно ги именува тунелите. Броењето сокети не го заменува тоа: IPsec NAT-T држи еден заеднички сокет UDP 4500 што го делат сите тунели, па броењето сокети на тој порт дава нула или еден, колку и да има тунели. Ниту една линија не е мерење на пропусност, и ниту една не го предвидува однесувањето под оптоварување. Тие ви ја даваат единицата за која треба да прашате, а добавувачот што може да го опише методот има спецификација таму каде што тој што не може има брошура.

Запишете ја патеката и ознаките престануваат да бидат важни

Опишете ја архитектурата како список на функции со сопственици: завршување, автентикација, доделување адреси, авторизација, повратно рутирање, евидентирање и обновување. Тој опис го надживува преименувањето на производот, промената на добавувачот и преземањето, и ниту едно од тоа нема да ја ажурира вашата шема.

Прегледајте го наспроти вистинска клиентска сесија еднаш на квартал, зашто функцијата може да се премести без никој да го уреди цртежот. Ознаките ќе продолжат да се менуваат, а списокот на сопственици ќе продолжи да биде она што навистина ја објаснува мрежата.