Konsentrator atau gateway? Di mana penamat VPN dalam laluan anda

Dua vendor boleh memanggil kotak yang sama sebagai konsentrator dan gateway, dan tiada satu pun perkataan itu memberitahu anda di mana trafik dinyahsulit. Label menerangkan peranan penggunaan dan bukan protokol, dan peranan itu bertindih dalam semua arah. Yang penting dalam semakan reka bentuk ialah peranti yang menamatkan terowong, kawalan di sekelilingnya dan laluan yang dilalui permintaan yang telah dinyahsulit. Putuskan berdasarkan ketiga-tiganya, dan kata nama pada helaian data berhenti menjadi hujah.

Dua label, satu keputusan

Konsentrator biasanya bermaksud sistem pusat yang menerima dan mengurus banyak sambungan serentak, dan perkataan itu membawa implikasi skala. Gateway ialah istilah yang lebih luas untuk titik hujung yang menyambungkan terowong kepada rangkaian di belakangnya, dan ia boleh menerangkan penghala, tembok api atau perkhidmatan terurus. Tiada satu pun perkataan menamakan protokol, dan tiada satu pun menjanjikan set ciri tertentu. Peranti yang sama boleh dijual dengan kedua-dua nama oleh dua vendor, dan itulah sebabnya perdebatan istilah tidak pernah selesai.

Anggap label sebagai petunjuk penggunaan yang dimaksudkan dan tidak lebih. Keputusan adalah milik fungsi yang boleh anda sahkan dalam konfigurasi, bukan kata-kata dalam risalah.

Cari peranti yang benar-benar menamatkan

Ikuti sambungan klien dari luar ke dalam. Sesuatu menerima pengangkutan, sesuatu mengesahkan rakan, sesuatu memberikan alamat kepada klien, sesuatu membenarkan destinasi, dan sesuatu menyediakan laluan balik. Kelima-lima fungsi itu boleh berada pada satu peranti atau lima, dan satu-satunya soalan berguna ialah peranti mana melakukan apa. Penghala di hulu boleh membawa paket luar tanpa pernah menyahsulitnya, dan itulah keadaan yang membuat rajah topologi mengelirukan penyemak untuk menamakan kotak yang salah.

Sahkan penamatan pada calon itu sendiribukan daripada lukisan. Soket yang mendengar pada port yang dijangka bersama entri keadaan yang terbentuk ialah bukti lebih kukuh daripada rajah rangkaian, dan ketiadaan kedua-duanya lebih kukuh lagi.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Putuskan dengan lima sifat, bukan dengan nama produk

Lima sifat memisahkan calon, dan setiap satu boleh dijawab daripada dokumentasi dan bukan pemasaran. Peranan VPN apa yang disokong oleh keluaran ini, sumber identiti apa yang boleh digunakannya, skop penghantaran apa yang dibenarkannya, berapa kapasiti yang ditanggungnya, dan bagaimana ia bertindak apabila gagal. Mintalah kelima-limanya secara bertulis dan label menjadi tidak relevan kepada keputusan.

Kapasiti ialah sifat yang paling kuat diisyaratkan oleh label konsentrator, dan itulah yang paling kerap dibiarkan kabur. Had keserentakan, kadar pemprosesan setiap terowong dan jumlah kadar pemprosesan ialah tiga angka berbeza, dan peranti boleh bermurah hati pada satu dan kedekut pada yang lain. Ketersediaan tinggi ialah sifat pasangan dan bukan mana-mana kotak, dan ia tergolong dalam soalan pemulihan. Label yang mencadangkan skala bukan spesifikasi skala.

Pemulihan tergolong dalam perbualan yang sama. Tanyakan bagaimana pentadbir mencapai peranti apabila terowong itu sendiri ialah komponen yang rosak, kerana laluan luar jalur ialah keputusan reka bentuk dan bukan aksesori.

Semak bukti sebelum label

Perkhidmatan semasa harus dinilai dari segi peranan yang disokong, dasar identiti, skop penghantaran, kapasiti dan tingkah laku pemulihan, dengan jawapan khusus untuk versi yang akan anda gunakan. Gambaran sejarah boleh menerangkan mengapa perkataan konsentrator wujud, tetapi ia tidak boleh memberitahu anda apa yang disokong oleh keluaran semasa.Gambaran keseluruhan Cisco VPNialah konteks istilah yang berguna semata-mata kerana itu, dan memperlakukannya sebagai senarai ciri semasa ialah cara semakan reka bentuk menjadi salah.

Kemudian sahkan satu dakwaan dari awal hingga akhir. Pilih sifat yang paling penting, seperti kadar pemprosesan setiap terowong atau masa failover, dan mintalah kaedah pengukuran dan bukan angkanya. Semakan setempat yang pantas tentang apa yang sebenarnya ditunjukkan oleh peranti ialah permulaan yang wajar.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Dalam Linux baris pertama mengira persatuan keselamatan, dan terowong biasanya mempunyai dua, satu bagi setiap arah, jadi bahagikan bilangan itu dua sebelum membandingkannya dengan dakwaan terowong. Pada hos strongSwan baris kedua menamakan terowong secara langsung. Kiraan soket bukan pengganti: IPsec NAT-T mengekalkan satu soket UDP 4500 yang dikongsi oleh setiap terowong, jadi mengira soket pada port itu menghasilkan sifar atau satu, berapa banyak pun terowong yang ada. Tiada satu pun baris itu ialah pengukuran kadar pemprosesan, dan tiada satu pun meramalkan tingkah laku di bawah beban. Apa yang diberikan ialah unit untuk ditanyakan, dan vendor yang dapat menerangkan kaedahnya mempunyai spesifikasi di tempat yang tidak dapat melakukannya mempunyai risalah.

Tuliskan laluan itu dan label berhenti penting

Terangkan seni bina sebagai senarai fungsi dengan pemilik: penamatan, pengesahan, peruntukan alamat, kebenaran, penghalaan balik, pembalakan dan pemulihan. Penerangan itu bertahan melalui penamaan semula produk, pertukaran vendor dan pengambilalihan, dan tiada satu pun daripadanya akan mengemas kini rajah anda.

Semak semula terhadap sesi klien sebenar sekali setiap suku tahun, kerana sesuatu fungsi boleh berpindah tanpa sesiapa menyunting lukisan. Label akan terus berubah, dan senarai pemilik akan terus menjadi perkara yang benar-benar menerangkan rangkaian.