Зошто SSL VPN и VPN од локација до локација не се спротивности
SSL VPN и VPN од локација до локација опишуваат различни оски: кој се приклучува на мрежата и како се гради тунелот. Да се именуваат двете заедно е категорична грешка.
Побарајте два администратори да го опишат истиот VPN и едниот може да одговори „SSL VPN“, а другиот да каже „од локација до локација“, како да се двете спротивставени опции во мени. Тоа се одговори на различни прашања, а третирањето како алтернативи создава споредби што не можат да се решат. Едната ознака кажува кои крајни точки се поврзуваат; другата кажува што го носи сообраќајот меѓу нив. Држете ги оските одвоени и најголемиот дел од расправата исчезнува.
Две ознаки, две одделни прашања
Топологијата одговара кој со што се поврзува. Дизајнот за далечински пристап приклучува поединечни корисници или уреди на порта, обично со идентитет по корисник и базен адреси. Дизајнот од локација до локација поврзува две мрежи преку порти, па интересниот идентитет е партнерската порта, а не лицето пред тастатурата. Тоа се различни оперативни проблеми, од планирање адреси до тоа кој може да го отповика пристапот во 2 часот наутро.
Механизмот одговара како се гради и автентификува тунелот. IPsec со IKEv2, производ базиран на TLS што носи IP во себе, и портал за апликации свртен кон прелистувачот се избори на механизам, и секој има свои преговори, шифрински множества и режими на дефект. Ниту еден не подразбира топологија, а топологијата не избира механизам.
Ставете ги двете оски во една табела и збунетоста станува видлива, бидејќи секоја ќелија од мрежата може да се пополни. Она што табелата не може да го направи е да ви каже која комбинација ја доставил вашиот добавувач, бидејќи имињата на производите ги спојуваат двете оски во една маркетинг фраза.
Од каде доаѓа категоричната грешка
Добавувачите со години продаваа „SSL VPN“ како спротивност на „IPsec VPN“, што споредбата на механизми ја правеше да изгледа како избор на топологија. Фразата лошо остаре и по своите услови, бидејќи денешните дизајни користат поддржани TLS верзии и името SSL опстанува главно како категорија на производ.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Од истото спојување произлегуваат два поврзани мита. Првиот е дека IPsec значи од локација до локација; IKEv2 беше дизајниран и за односи клиент–порта, па поединечен лаптоп може да се приклучи со IPsec. Вториот е дека производ базиран на TLS значи само далечински пристап; OpenVPN редовно се користи за пренос на сообраќај меѓу две локации, а неговата употреба на TLS е концентрирана во размената на контрола и автентикација, а не во сесија на прелистувач.
Корисен тест за секој опис: ако замената на еден збор ги менува и крајните точки и протоколот, реченицата ги меша оските. „SSL VPN наспроти од локација до локација“ не го поминува тој тест, бидејќи првиот термин именува фамилија механизми, а вториот топологија.
Опишете распоредување така што може да се спореди
Напишете четири полиња и пополнете ги: крајни точки, механизам, автентикација и површина за пристап. Врската со огранок може да се чита како пар порти IKEv2 меѓу два именувани префикси со сертификатна автентикација и без портал на корисничко ниво. Услугата за далечински пристап може да се чита како клиент базиран на TLS што доделува адреси по корисник, бара втор фактор при најава и објавува само внатрешна DNS зона.
Тие реченици се споредливи на начин на кој имињата на производите не се. Два дизајна за далечински пристап можат да се мерат спрема истиот кориснички работен тек и истата патека за отповикување, а два дизајна меѓу локации спрема истиот список префикси, политика на сообраќај и барања за дефект. Ознаките ја организираат споредбата; тие не ја заменуваат.
Терминологијата има и објавен потпирач. Документот на IETF за VPN терминологија одделува неколку модели на услуга, вклучително далечински пристап и од локација до локација, од механизмите со кои се градат, и тоа е токму разликата што постојано се губи.
Читајте го преговараниот протокол, не името на производот
Ознаката на кутијата не утврдува за што се согласил тунел што работи. Прашајте го партнерот директно, на страната TLS, и прочитајте ја верзијата на протоколот и шифрата што ги создаде ракувањето, наместо верзијата во брошурата.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefЗа порта IPsec еквивалентното набљудување доаѓа од сопствениот статусен излез на имплементацијата, кој известува за предложените IKE и ESP во употреба. Како и да е, поентата е иста: оската на механизмот мора да се чита од живата сесија, бидејќи клиентот и портата можат да преговараат до нешто постаро отколку што очекувал било кој администратор.
ipsec statusall | grep -E "IKE|ESP"Потоа остануваат прашањата на кои ниту една ознака не одговара. Кои верзии на протоколот сѐ уште се прифаќаат, како се валидира идентитетот на портата, кое множество алгоритми е дозволено, кој го овластува даден корисник за даден ресурс и што го отповикува пристапот кога уред се губи. Дијаграмот на топологија и името на механизмот се почетокот на тој список, а не негова замена.
Затоа задржете ги двете ознаки, но користете ги за она што се: краток начин да се каже кои крајни точки се поврзуваат и како се гради тунелот. Во моментот кога едната се користи за да ја исклучи другата, описот престанал да опишува нешто.