Għaliex SSL VPN u VPN mis-sit għas-sit mhumiex opposti
SSL VPN u VPN mis-sit għas-sit jiddeskrivu assi differenti: min jingħaqad man-netwerk u kif jinbena t-tunnel. Li ssemmi t-tnejn flimkien hija żball ta' kategorija.
Itlob lil żewġ amministraturi jiddeskrivu l-istess VPN u wieħed jista' jwieġeb “SSL VPN” filwaqt li l-ieħor jgħid “mis-sit għas-sit”, bħallikieku t-tnejn kienu għażliet rivali f'menu. Huma tweġibiet għal mistoqsijiet differenti, u li tittrattahom bħala alternattivi jipproduċi paraguni li ma jistgħux jiġu riżolti. Tikketta waħda tgħid liema punti tat-tarf qed jiġu magħquda; l-oħra tgħid x'qed iġorr it-traffiku bejniethom. Żomm l-assi separati u l-parti l-kbira tal-argument tisparixxi.
Żewġ tikketti, żewġ mistoqsijiet separati
It-topoloġija twieġeb min qed jingħaqad ma' xiex. Disinn ta' aċċess mill-bogħod iqabbad utenti jew apparati individwali ma' gateway, normalment b'identità għal kull utent u grupp ta' indirizzi. Disinn mis-sit għas-sit jgħaqqad żewġ netwerks permezz ta' gateways, allura l-identità interessanti hija l-gateway sħabi u mhux il-persuna quddiem it-tastiera. Dawn huma problemi operattivi differenti, mill-ippjanar tal-indirizzi sa min jista' jħassar l-aċċess fis-2 ta' filgħodu.
Il-mekkaniżmu jwieġeb kif jinbena u jiġi awtentikat it-tunnel. IPsec ma' IKEv2, prodott ibbażat fuq TLS li jġorr IP fih innifsu, u portal tal-applikazzjonijiet li jħares lejn il-browser huma għażliet ta' mekkaniżmu, u kull wieħed għandu n-negozjati, is-suite ta' ċifrar u l-modi ta' falliment tiegħu. L-ebda wieħed minnhom ma jimplika topoloġija, u topoloġija ma tagħżelx mekkaniżmu.
Qiegħed iż-żewġ assi f'tabella waħda u l-konfużjoni ssir viżibbli, għax kull ċellula tal-grilja tista' timtela. Dak li l-grilja ma tistax tagħmel huwa tgħidlek liema kombinazzjoni bagħat il-fornitur tiegħek, għax l-ismijiet tal-prodotti jiġbru ż-żewġ assi fi frażi waħda ta' kummerċjalizzazzjoni.
Minn fejn ġej l-iżball ta' kategorija
Il-fornituri biegħu “SSL VPN” għal snin sħaħ bħala l-oppost ta' “IPsec VPN”, li għamel paragun ta' mekkaniżmi jidher bħala għażla ta' topoloġija. Il-frażi qadmet ħażin ukoll skont it-termini tagħha stess, għax id-disinni tal-lum jużaw verżjonijiet TLS appoġġjati u l-isem SSL jibqa' ħaj l-aktar bħala kategorija ta' prodott.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Żewġ miti relatati joħorġu mill-istess tgħaffiġ. L-ewwel huwa li IPsec ifisser mis-sit għas-sit; IKEv2 kien iddisinjat ukoll għal relazzjonijiet klijent-gateway, allura laptop individwali jista' jingħaqad b'IPsec. It-tieni huwa li prodott ibbażat fuq TLS ifisser biss aċċess mill-bogħod; OpenVPN jintuża regolarment biex iġorr traffiku bejn żewġ siti, u l-użu tiegħu ta' TLS huwa kkonċentrat fl-iskambju tal-kontroll u l-awtentikazzjoni aktar milli f'sessjoni tal-browser.
Test utli għal kull deskrizzjoni: jekk it-tibdil ta' kelma waħda jbiddel kemm il-punti tat-tarf kif ukoll il-protokoll, is-sentenza qed tħallat l-assi. “SSL VPN kontra mis-sit għas-sit” ma jgħaddix minn dak it-test, għax l-ewwel terminu jsemmi familja ta' mekkaniżmi u t-tieni jsemmi topoloġija.
Iddeskrivi skjerament sabiex ikun jista' jiġi mqabbel
Ikteb erba' oqsma u imlihom: punti tat-tarf, mekkaniżmu, awtentikazzjoni u wiċċ tal-aċċess. Rabta tal-fergħa tista' tinqara bħala par ta' gateways IKEv2 bejn żewġ prefissi msemmija b'awtentikazzjoni ta' ċertifikat u mingħajr portal fil-livell tal-utent. Servizz ta' aċċess mill-bogħod jista' jinqara bħala klijent ibbażat fuq TLS li jalloka indirizzi għal kull utent, jitlob tieni fattur fid-dħul u jippubblika biss żona DNS interna.
Dawk is-sentenzi huma mqabbla b'mod li l-ismijiet tal-prodotti mhumiex. Żewġ disinni ta' aċċess mill-bogħod jistgħu jitkejlu kontra l-istess fluss tax-xogħol tal-utent u l-istess mogħdija ta' tħassir, u żewġ disinni bejn is-siti kontra l-istess lista ta' prefissi, politika tat-traffiku u rekwiżiti ta' falliment. It-tikketti jorganizzaw il-paragun; ma jissostitwixxuhx.
It-terminoloġija għandha wkoll ankra ppubblikata. Id-dokument tat-terminoloġija VPN tal-IETF jifred diversi mudelli ta' servizz, inkluż aċċess mill-bogħod u mis-sit għas-sit, mill-mekkaniżmi li bihom jinbnew, u dan huwa eżattament id-distinzjoni li tkompli tintilef.
Aqra l-protokoll innegozjat, mhux l-isem tal-prodott
It-tikketta fuq il-kaxxa ma tistabbilixxix liema qabel tunnel li qed jaħdem. Staqsi lis-sħab direttament, fuq in-naħa TLS, u aqra l-verżjoni tal-protokoll u ċ-ċifrar li pproduċa l-handshake minflok il-verżjoni fil-brochure.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefGħal gateway IPsec l-osservazzjoni ekwivalenti tiġi mill-output tal-istat tal-implimentazzjoni stess, li jirrapporta l-proposti IKE u ESP li qed jintużaw. Kif inhu, il-punt huwa l-istess: l-assi tal-mekkaniżmu trid tinqara mis-sessjoni ħajja, għax klijent u gateway jistgħu jinnegozjaw 'l isfel għal xi ħaġa eqdem milli stenna xi wieħed miż-żewġ amministraturi.
ipsec statusall | grep -E "IKE|ESP"Wara dan, il-mistoqsijiet li jibqgħu huma dawk li l-ebda tikketta ma twieġeb. Liema verżjonijiet tal-protokoll għadhom jiġu aċċettati, kif tiġi vvalidata l-identità tal-gateway, liema sett ta' algoritmi huwa permess, min jawtorizza utent partikolari għal riżors partikolari, u x'jħassar l-aċċess meta apparat jintilef. Dijagramma tat-topoloġija u isem ta' mekkaniżmu huma l-bidu ta' dik il-lista, mhux sostitut għaliha.
Żomm it-tnejn tikketti, mela, imma użahom għal dak li huma: mod qasir biex tgħid liema punti tat-tarf jiġu magħquda u kif jinbena t-tunnel. Fil-mument li wieħed jintuża biex jeskludi l-ieħor, id-deskrizzjoni waqfet tiddeskrivi xi ħaġa.