Яагаад SSL VPN болон сайт хоорондын VPN эсрэг тэсрэг биш вэ
SSL VPN болон сайт хоорондын VPN нь өөр тэнхлэгүүдийг тодорхойлдог: хэн сүлжээнд нэгдэх, туннелийг хэрхэн барих вэ. Хоёуланг нь хамт нэрлэх нь ангиллын алдаа юм.
Хоёр администраторт нэг VPN-ийг тайлбарлахыг хүс, нэг нь «SSL VPN» гэж хариулж, нөгөө нь «сайт хоорондын» гэж хэлж болно, хоёулаа цэсэн дэх өрсөлдөгч сонголт мэт. Эдгээр нь өөр асуултын хариулт бөгөөд тэдгээрийг хувилбар гэж үзэх нь шийдвэрлэх боломжгүй харьцуулалт үүсгэдэг. Нэг шошго аль төгсгөлийн цэгүүд холбогдохыг хэлнэ; нөгөө нь тэдний хооронд трафикийг юу зөөхийг хэлнэ. Тэнхлэгүүдийг тусдаа байлга, маргааны ихэнх хэсэг алга болно.
Хоёр шошго, хоёр тусдаа асуулт
Топологи хэн юунд нэгдэхийг хариулна. Алсын хандалтын загвар нь хувь хүний хэрэглэгчид эсвэл төхөөрөмжүүдийг гарц руу холбодог, ихэвчлэн хэрэглэгч тус бүрийн таних тэмдэг, хаягийн сантай. Сайт хоорондын загвар нь хоёр сүлжээг гарцуудын дундуур нэгтгэдэг тул сонирхолтой таних тэмдэг нь хамтрагч гарц, гарны урд сууж буй хүн биш. Эдгээр нь өөр ажиллагааны асуудлууд: хаяг төлөвлөлтөөс эхлээд шөнийн 2 цагт хэн хандалтыг цуцалж чадах хүртэл.
Механизм нь туннелийг хэрхэн барьж, баталгаажуулахыг хариулна. IKEv2 бүхий IPsec, дотроо IP зөөдөг TLS-д суурилсан бүтээгдэхүүн, хөтөч рүү чиглэсэн аппликейшн портал нь механизмын сонголт бөгөөд тус бүр өөрийн хэлэлцээр, шифрийн багц, бүтэлгүйтлийн горимтой. Тэдгээрийн аль нь ч топологийг илэрхийлэхгүй, топологи механизмыг сонгохгүй.
Хоёр тэнхлэгийг нэг хүснэгтэд хий, төөрөгдөл ил болно, учир нь торны бүх нүдийг бөглөж болно. Хүснэгтийн хийж чадахгүй зүйл бол нийлүүлэгч тань ямар хослол нийлүүлснийг хэлэх, учир нь бүтээгдэхүүний нэр хоёр тэнхлэгийг нэг маркетингийн өгүүлбэрт шахаж байдаг.
Ангиллын алдаа хаанаас гарах вэ
Нийлүүлэгчид олон жил «SSL VPN»-ийг «IPsec VPN»-ийн эсрэг тал болгон зарж, механизмын харьцуулалтыг топологийн сонголт мэт харагдуулсан. Энэ хэллэг өөрийн нөхцлөөр ч муу хуучирсан, учир нь өнөөгийн загварууд дэмжигдсэн TLS хувилбарыг ашигладаг бөгөөд SSL нэр нь голчлон бүтээгдэхүүний ангилал болж үлдсэн.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Мөн шахахаас хоёр холбоотой домог гарна. Эхнийх нь IPsec нь сайт хоорондын гэсэн үг; IKEv2 нь клиент-гарц харилцаанд зориулагдсан тул ганц зөөврийн компьютер IPsec-ээр нэгдэж болно. Хоёр дахь нь TLS-д суурилсан бүтээгдэхүүн зөвхөн алсын хандалт гэсэн үг; OpenVPN хоёр сайтын хооронд трафик зөөхөд тогтмол ашиглагддаг бөгөөд түүний TLS ашиглалт нь хөтчийн сессэд биш, удирдлага, баталгаажуулалтын солилцоонд төвлөрдөг.
Аливаа тайлбарт хэрэгтэй шалгуур: нэг үг солиход төгсгөлийн цэгүүд болон протокол хоёулаа өөрчлөгдвөл, өгүүлбэр тэнхлэгүүдийг хольж байна. «SSL VPN сайт хоорондын эсрэг» энэ шалгуурыг давж чадахгүй, учир нь эхний нэр томьёо механизмын гэр бүлийг, хоёр дахь нь топологийг нэрлэдэг.
Байршуулалтыг харьцуулах боломжтой байхаар тайлбарла
Дөрвөн талбар бичээд бөглө: төгсгөлийн цэгүүд, механизм, баталгаажуулалт, хандалтын гадаргуу. Салбарын холбоосыг хоёр нэрлэсэн префиксийн хооронд гэрчилгээний баталгаажуулалттай, хэрэглэгчийн түвшний порталгүй IKEv2 гарцын хос гэж уншиж болно. Алсын хандалтын үйлчилгээг хэрэглэгч бүрт хаяг олгож, нэвтрэх үед хоёр дахь хүчин зүйл шаардаж, зөвхөн дотоод DNS бүсийг нийтэлдэг TLS-д суурилсан клиент гэж уншиж болно.
Эдгээр өгүүлбэрүүд нь бүтээгдэхүүний нэрэнд байдаггүй аргаар харьцуулагдах боломжтой. Хоёр алсын хандалтын загварыг нэг хэрэглэгчийн ажлын урсгал, нэг цуцлах замд харьцуулж болно, хоёр сайт хоорондын загварыг нэг префиксийн жагсаалт, трафикийн бодлого, бүтэлгүйтлийн шаардлагад харьцуулж болно. Шошго харьцуулалтыг зохион байгуулдаг; түүнийг орлуулдаггүй.
Нэр томьёо нь нийтлэгдсэн тулгууртай. IETF-ийн VPN нэр томьёоны баримт бичиг алсын хандалт, сайт хоорондын зэрэг хэд хэдэн үйлчилгээний загварыг тэдгээрийг барихад ашигладаг механизмаас тусгаарладаг бөгөөд энэ нь яг байнга алдагддаг ялгаа юм.
Бүтээгдэхүүний нэрийг биш, хэлэлцсэн протоколыг унш
Хайрцаг дээрх шошго нь ажиллаж буй туннель юунд санал нэгдсэнийг тогтоодоггүй. TLS талд хамтрагчаас шууд асууж, товхимол дахь хувилбарын оронд гар барилтын үүсгэсэн протоколын хувилбар, шифрийг унш.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec гарцын хувьд ижил ажиглалт нь хэрэгжүүлэлтийн өөрийн төлөвийн гаралтаас ирдэг бөгөөд ашиглагдаж буй IKE, ESP саналуудыг мэдээлдэг. Ямар ч байсан гол нь ижил: механизмын тэнхлэгийг амьд сессээс унших ёстой, учир нь клиент, гарц хоёр аль ч администраторын хүлээснээс хуучин зүйл рүү буулт хийж болно.
ipsec statusall | grep -E "IKE|ESP"Үүний дараа ямар ч шошго хариулдаггүй асуултууд үлдэнэ. Аль протоколын хувилбарыг хүлээж авах вэ, гарцын таних тэмдгийг хэрхэн баталгаажуулах вэ, ямар алгоритмын багц зөвшөөрөгдөх вэ, хэн тодорхой хэрэглэгчийг тодорхой нөөцөд эрхшээх вэ, төхөөрөмж алга болоход хандалтыг юу цуцлах вэ. Топологийн диаграмм, механизмын нэр нь тэр жагсаалтын эхлэл бөгөөд түүний орлуулагч биш.
Тиймээс хоёр шошгыг хадгал, гэхдээ тэдгээрийг өөрсдөө болох зүйлд ашигла: аль төгсгөлийн цэгүүд холбогдох, туннелийг хэрхэн барихыг хэлэх богино арга. Нэгийг нь нөгөөг нь хасах гэж ашигласан тэр мөчид тайлбар ямар ч зүйлийг тайлбарлахаа болино.