Mengapa SSL VPN dan VPN tapak-ke-tapak bukan bertentangan
SSL VPN dan VPN tapak-ke-tapak menerangkan paksi berbeza: siapa menyertai rangkaian dan bagaimana terowong dibina. Menyebut kedua-duanya sekali gus ialah kesilapan kategori.
Minta dua pentadbir menerangkan VPN yang sama dan seorang mungkin menjawab “SSL VPN” manakala yang lain berkata “tapak-ke-tapak”, seolah-olah kedua-duanya pilihan bersaing dalam menu. Kedua-duanya jawapan kepada soalan berbeza, dan memperlakukannya sebagai alternatif menghasilkan perbandingan yang tidak dapat diselesaikan. Satu label menyatakan titik akhir mana yang dicantumkan; yang lain menyatakan apa yang membawa trafik antaranya. Pisahkan kedua-dua paksi dan sebahagian besar perdebatan hilang.
Dua label, dua soalan berasingan
Topologi menjawab siapa menyertai apa. Reka bentuk akses jauh menyambungkan pengguna atau peranti individu ke get laluan, biasanya dengan identiti setiap pengguna dan kumpulan alamat. Reka bentuk tapak-ke-tapak mencantumkan dua rangkaian melalui get laluan, jadi identiti yang menarik ialah get laluan rakan sebaya, bukan orang di hadapan papan kekunci. Ini masalah operasi yang berbeza, dari perancangan alamat hingga siapa yang boleh membatalkan akses pada pukul 2 pagi.
Mekanisme menjawab bagaimana terowong dibina dan disahkan. IPsec dengan IKEv2, produk berasaskan TLS yang membawa IP di dalamnya, dan portal aplikasi menghadap pelayar ialah pilihan mekanisme, dan setiap satu mempunyai rundingan, suite sifer dan mod kegagalannya sendiri. Tiada satu pun membayangkan topologi, dan topologi tidak memilih mekanisme.
Letakkan kedua-dua paksi dalam satu jadual dan kekeliruan menjadi kelihatan, kerana setiap sel grid boleh diisi. Apa yang grid tidak dapat lakukan ialah memberitahu anda kombinasi mana yang dihantar oleh vendor anda, kerana nama produk meruntuhkan kedua-dua paksi menjadi satu frasa pemasaran.
Dari mana kesilapan kategori datang
Vendor menjual “SSL VPN” selama bertahun-tahun sebagai lawan “IPsec VPN”, yang membuatkan perbandingan mekanisme kelihatan seperti pilihan topologi. Frasa itu juga menua dengan buruk mengikut syaratnya sendiri, kerana reka bentuk hari ini menggunakan versi TLS yang disokong dan nama SSL kekal terutamanya sebagai kategori produk.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Dua mitos berkaitan mengikut runtuhan yang sama. Yang pertama ialah IPsec bermaksud tapak-ke-tapak; IKEv2 juga direka untuk hubungan klien-ke-get laluan, jadi satu komputer riba boleh menyertai dengan IPsec. Yang kedua ialah produk berasaskan TLS bermaksud akses jauh sahaja; OpenVPN digunakan secara rutin untuk membawa trafik antara dua tapak, dan penggunaan TLS-nya tertumpu pada pertukaran kawalan dan pengesahan dan bukannya sesi pelayar.
Ujian berguna untuk mana-mana penerangan: jika menukar satu perkataan mengubah kedua-dua titik akhir dan protokol, ayat itu mencampurkan paksi. “SSL VPN berbanding tapak-ke-tapak” gagal ujian itu, kerana istilah pertama menamakan keluarga mekanisme dan yang kedua menamakan topologi.
Terangkan penggunaan supaya ia boleh dibandingkan
Tulis empat medan dan isikannya: titik akhir, mekanisme, pengesahan dan permukaan akses. Pautan cawangan boleh dibaca sebagai pasangan get laluan IKEv2 antara dua awalan bernama dengan pengesahan sijil dan tanpa portal peringkat pengguna. Perkhidmatan akses jauh boleh dibaca sebagai klien berasaskan TLS yang memperuntukkan alamat setiap pengguna, memerlukan faktor kedua semasa log masuk dan hanya menerbitkan zon DNS dalaman.
Ayat-ayat itu boleh dibandingkan dengan cara nama produk tidak. Dua reka bentuk akses jauh boleh diukur terhadap aliran kerja pengguna yang sama dan laluan pembatalan yang sama, dan dua reka bentuk antara tapak terhadap senarai awalan, dasar trafik dan keperluan kegagalan yang sama. Label menyusun perbandingan; ia tidak menggantikannya.
Terminologi juga mempunyai sauh yang diterbitkan. Dokumen terminologi VPN IETF memisahkan beberapa model perkhidmatan, termasuk akses jauh dan tapak-ke-tapak, daripada mekanisme yang digunakan untuk membinanya, dan itulah tepat perbezaan yang terus hilang.
Baca protokol yang dirundingkan, bukan nama produk
Label pada kotak tidak menetapkan apa yang dipersetujui oleh terowong yang berjalan. Tanya rakan sebaya secara langsung, di sebelah TLS, dan baca versi protokol serta sifer yang dihasilkan oleh jabat tangan dan bukannya versi dalam risalah.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefUntuk get laluan IPsec pemerhatian setara datang daripada output status pelaksanaan itu sendiri, yang melaporkan cadangan IKE dan ESP yang digunakan. Walau apa pun, intinya sama: paksi mekanisme mesti dibaca daripada sesi hidup, kerana klien dan get laluan boleh berunding turun kepada sesuatu yang lebih lama daripada yang dijangka oleh mana-mana pentadbir.
ipsec statusall | grep -E "IKE|ESP"Selepas itu, soalan yang tinggal ialah yang tidak dijawab oleh mana-mana label. Versi protokol mana yang masih diterima, bagaimana identiti get laluan disahkan, set algoritma mana yang dibenarkan, siapa yang memberi kuasa kepada pengguna tertentu untuk sumber tertentu, dan apa yang membatalkan akses apabila peranti hilang. Gambar rajah topologi dan nama mekanisme ialah permulaan senarai itu, bukan penggantinya.
Kekalkan kedua-dua label, tetapi gunakannya untuk apa adanya: cara singkat untuk menyatakan titik akhir mana yang dicantumkan dan bagaimana terowong dibina. Pada saat salah satu digunakan untuk mengecualikan yang lain, penerangan itu telah berhenti menerangkan apa-apa.