Concentrator of gateway? Waar de VPN-terminator op je pad ligt

Twee leveranciers kunnen dezelfde doos een concentrator en een gateway noemen, en geen van beide woorden vertelt je waar het verkeer wordt ontsleuteld. De labels beschrijven uitrolrollen in plaats van protocollen, en de rollen overlappen in elke richting. Wat telt bij een ontwerpbeoordeling is het apparaat dat de tunnel termineert, de controles eromheen en het pad dat een ontsleuteld verzoek aflegt. Beslis op basis van die drie, en het zelfstandig naamwoord op de datasheet houdt op een argument te zijn.

Twee labels, één beslissing

Een concentrator betekent meestal het centrale systeem dat veel verbindingen tegelijk ontvangt en beheert, en het woord draagt een suggestie van schaal. Een gateway is de bredere term voor een eindpunt dat een tunnel verbindt met de netwerken erachter, en kan een router, een firewall of een beheerde dienst beschrijven. Geen van beide woorden noemt een protocol, en geen van beide belooft een bepaalde functieset. Hetzelfde apparaat kan door twee leveranciers onder beide namen worden verkocht, en daarom wordt de terminologiediscussie nooit beslecht.

Behandel het label als een hint over het beoogde gebruik en niets meer. De beslissing hoort bij de functies die je in de configuratie kunt verifiëren, niet bij de woorden in de brochure.

Vind het apparaat dat daadwerkelijk termineert

Volg een clientverbinding van buiten naar binnen. Iets accepteert het transport, iets authenticëert de tegenpartij, iets geeft de client een adres, iets autoriseert een bestemming, en iets levert een retourroute. Die vijf functies kunnen op één apparaat of op vijf zitten, en de enige nuttige vraag is welk apparaat wat doet. Een router verderop kan de buitenste pakketten dragen zonder ze ooit te ontsleutelen, en dat is precies het geval waarin een topologiediagram een beoordelaar ertoe brengt de verkeerde doos te noemen.

Bevestig de terminering op de kandidaat zelfin plaats van uit de tekening. Een luisterende socket op de verwachte poort plus een gevestigde toestandsinvoer is sterker bewijs dan een netwerkdiagram, en de afwezigheid van beide is nog sterker.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Beslis op vijf eigenschappen, niet op de productnaam

Vijf eigenschappen scheiden de kandidaten, en elk ervan is te beantwoorden uit documentatie in plaats van marketing. Welke VPN-rollen ondersteunt deze release, welke identiteitsbronnen kan hij gebruiken, welk doorstuurbereik staat hij toe, hoeveel capaciteit houdt hij vol, en hoe gedraagt hij zich bij een storing. Vraag die vijf op schrift en het label wordt onbelangrijk voor de beslissing.

Capaciteit is de eigenschap die het concentratorlabel het sterkst suggereert, en die het vaakst vaag blijft. Grenzen aan gelijktijdigheid, doorvoer per tunnel en totale doorvoer zijn drie verschillende getallen, en een apparaat kan in het ene ruimhartig zijn en in het andere karig. Hoge beschikbaarheid is een eigenschap van het paar en niet van een van beide dozen, en hoort bij de herstelvraag. Een label dat schaal suggereert is geen specificatie van schaal.

Herstel hoort in hetzelfde gesprek. Vraag hoe een beheerder het apparaat bereikt wanneer de tunnel zelf het kapotte onderdeel is, want een out-of-band-pad is een ontwerpbeslissing en geen accessoire.

Controleer het bewijs vóór het label

Een actuele dienst moet worden beoordeeld op ondersteunde rollen, identiteitsbeleid, doorstuurbereik, capaciteit en herstelgedrag, met antwoorden die specifiek zijn voor de versie die je zou uitrollen. Een historisch overzicht kan uitleggen waarom het woord concentrator bestaat, maar het kan je niet vertellen wat een actuele versie ondersteunt.Cisco VPN-overzichtis juist daarom een nuttige terminologische context, en het als een actuele functielijst behandelen is de manier waarop een ontwerpbeoordeling misgaat.

Verifieer dan één bewering van begin tot eind. Kies de eigenschap die het meest telt, zoals doorvoer per tunnel of failovertijd, en vraag naar de meetmethode in plaats van het getal. Een snelle lokale controle van wat het apparaat werkelijk toont, is een redelijk begin.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Op Linux telt de eerste regel beveiligingsassociaties, en een tunnel heeft er meestal twee, één per richting, dus halveer het aantal voordat je het met een tunnelbewering vergelijkt. Op een strongSwan-host noemt de tweede regel de tunnels rechtstreeks. Een sockettelling is geen vervanging: IPsec NAT-T houdt één gedeelde UDP 4500-socket voor elke tunnel, dus sockets tellen op die poort geeft nul of één, ongeacht hoeveel tunnels er zijn. Geen van beide regels is een doorvoermeting, en geen van beide voorspelt gedrag onder belasting. Wat ze je geven is de eenheid om naar te vragen, en een leverancier die de methode kan beschrijven heeft een specificatie waar een die dat niet kan een brochure heeft.

Schrijf het pad op en de labels doen er niet meer toe

Beschrijf de architectuur als een lijst functies met eigenaren: terminering, authenticatie, adrestoewijzing, autorisatie, retourroutering, logging en herstel. Die beschrijving overleeft een productnaamwijziging, een leverancierswissel en een overname, en geen daarvan werkt je diagram bij.

Beoordeel het eens per kwartaal tegen een echte clientsessie, want een functie kan verschuiven zonder dat iemand de tekening aanpast. De labels blijven veranderen, en de lijst met eigenaren blijft het ding dat het netwerk werkelijk verklaart.