Slik velger du VPN-gatewayer mellom lokasjoner som samarbeider

To lokasjonsgatewayer fra forskjellige leverandører danner en tunnel hvis implementasjonene deres er enige om parameterne som forhandles. Identiske merker er ikke et krav, og samsvarende merker er heller ikke en garanti. Kompatibilitetsspørsmålet handler om funksjoner og utgivelser; kapasitetsspørsmålet handler om arbeidet enheten må gjøre i programvare. Behandle dem som to kontroller, nettopp i den rekkefølgen.

Gå nedover listen og stopp ved det første punktet som ikke har noe svar.

Start med protokollfunksjonene, ikke med merket

For protokollen du har tenkt å kjøre, list opp hva designet trenger: autentiseringsmetode, avtalte forslag for kryptering og integritet, grensesnittet eller konstruksjonen for beskyttet trafikk, rutingmodus og om en av sidene står bak NAT. Hver av dem er en funksjon implementasjonen må støtte, ikke en avkrysningsboks på en produktside.

AWS' krav til kundegateway er en nyttig mal selv når du ikke kobler til AWS, fordi de formulerer kontrakten som et sett forpliktelser til protokoll og ruting. En leverandørs eksempelfil for en bestemt modell er et brukbart bevis på at noen har testet den kombinasjonen. En generisk etikett som hevder IPsec-støtte beviser verken versjonen eller policymodellen. Les utgivelsesnotatene i stedet for markedsføringssammendraget.

Kontroller utgivelsen, ikke etiketten på databladet

IKEv2-interoperabilitet avgjøres av de forhandlede parameterne, så spørsmålet er hvilke forslag gjeldende fastvare tilbyr og godtar. En enhet som støtter protokollen generelt, kan likevel avvise den konkrete kombinasjonen den andre enden din insisterer på. Bekreft versjonsstrengen og forslagslisten i begge ender.

Et notat om at en funksjon kom i et senere fastvaretog, er vanlig nok til å fortjene sitt eget punkt på sjekklisten.

Behandle kapasitet som et eget spørsmål

Kryptering koster arbeid, og hvor mye avhenger av implementasjonen like mye som av algoritmen. Noen akselerasjonsveier gjelder bare for bestemte algoritmer eller bestemte videresendingsveier, så en enhet kan være rask i én konfigurasjon og treg i en annen. Vanlig WAN-gjennomstrømning er ikke gjennomstrømning for en kryptert tunnel. Dimensjoner enheten etter trafikken du faktisk vil beskytte.

Pakkestørrelse betyr også noe, fordi innkapsling og all ekstra overhead reduserer nyttelasten hver pakke bærer.

Fastsett rutingpolicyen eksplisitt

Mellom lokasjoner betyr ikke at bare utvalgt trafikk kan bruke tunnelen, og det betyr ikke at alt må. Et design kan føre bestemte private prefikser, eller rute en standardrute gjennom gatewayen. Velg én og skriv den ned, fordi begge ender må være enige om hva som annonseres og hva som godtas. Uoverensstemmelse her gir en tunnel som er oppe og et nettverk som bare er halvt tilgjengelig.

Dynamisk rutede design legger til ett krav til: støtte for rutingprotokoll i begge ender.

Hva du bør sammenligne før du kjøper

Sammenlign oppdateringsfrekvens, interoperabilitetsbevis, gjenoppretting av konfigurasjon og tiltenkt failover-atferd side om side med toppoverføringshastighet. Spør hva som skjer når enheten starter på nytt med en utdatert konfigurasjon. Spør om leverandøren publiserer en interoperabilitetsliste for nøyaktig den peeren du planlegger å bruke. Spør hvem som eier endringen når en fastvareoppdatering endrer et standardforslag.

En maskinvaregaranti er ikke et svar på noe av dette.

Test deretter paret før du forplikter deg til en flåte. Én tunnel, de virkelige forslagene, den virkelige rutingmodusen og en overføring som ligner arbeidslasten vil fortelle deg mer enn noen spesifikasjonstabell.