Hoe je site-naar-site-VPN-gateways kiest die samenwerken

Twee locatiegateways van verschillende leveranciers vormen een tunnel als hun implementaties het eens zijn over de parameters die worden onderhandeld. Identieke merken zijn geen vereiste, en overeenkomende merken zijn evenmin een garantie. De compatibiliteitsvraag gaat over functies en releases; de capaciteitsvraag gaat over werk dat het apparaat in software moet doen. Behandel ze als twee controles, precies in die volgorde.

Werk de lijst af en stop bij het eerste punt waarvoor geen antwoord is.

Begin bij de protocolfuncties, niet bij het merk

Voor het protocol dat je wilt draaien, som je op wat het ontwerp nodig heeft: de authenticatiemethode, de afgesproken voorstellen voor versleuteling en integriteit, de interface of de constructie voor beschermd verkeer, de routingmodus en of een van beide kanten achter NAT zit. Elk daarvan is een functie die de implementatie moet ondersteunen, geen vinkje op een productpagina.

De klantgateway-eisen van AWS zijn een bruikbare sjabloon, ook als je niet met AWS verbindt, omdat ze het contract formuleren als een reeks verplichtingen op het gebied van protocol en routing. Een voorbeeldbestand van de leverancier voor een specifiek model is een redelijk bewijs dat iemand die combinatie heeft getest. Een algemeen label dat IPsec-ondersteuning beweert, bewijst noch de versie noch het beleidsmodel. Lees de release-opmerkingen in plaats van de marketingsamenvatting.

Controleer de release, niet het label op het datablad

IKEv2-interoperabiliteit wordt bepaald door de onderhandelde parameters, dus de vraag is welke voorstellen de huidige firmware biedt en accepteert. Een apparaat dat het protocol in het algemeen ondersteunt, kan de specifieke combinatie waarop je andere kant aandringt, alsnog weigeren. Bevestig de versiestring en de voorstellenlijst aan beide kanten.

Een opmerking dat een functie in een latere firmwaretrein kwam, is gewoon genoeg om een eigen punt op de checklist te verdienen.

Behandel capaciteit als een aparte vraag

Versleuteling kost werk, en hoeveel hangt van de implementatie net zoveel af als van het algoritme. Sommige versnellingspaden gelden alleen voor bepaalde algoritmen of bepaalde doorstuurlagen, dus een apparaat kan in de ene configuratie snel zijn en in een andere traag. Gewone WAN-doorvoer is geen doorvoer van een versleutelde tunnel. Bepaal de maat van het apparaat op het verkeer dat je echt gaat beschermen.

De pakketgrootte is ook van belang, omdat inkapseling en elke extra overhead de payload verkleinen die elk pakket draagt.

Leg het routingbeleid expliciet vast

Site-naar-site betekent niet dat alleen geselecteerd verkeer de tunnel mag gebruiken, en het betekent niet dat alles moet. Een ontwerp kan specifieke privéprefixen vervoeren, of een standaardroute via de gateway sturen. Kies er een en schrijf die op, want beide kanten moeten het eens zijn over wat wordt aangekondigd en wat wordt geaccepteerd. Een mismatch hier levert een tunnel op die staat en een netwerk dat half bereikbaar is.

Dynamisch gerouteerde ontwerpen voegen nog een eis toe: ondersteuning voor het routingprotocol aan beide kanten.

Wat je vergelijkt voordat je koopt

Vergelijk de frequentie van updates, interoperability-bewijzen, herstel van de configuratie en het beoogde failovergedrag naast de piektransfersnelheid. Vraag wat er gebeurt als het apparaat opnieuw opstart met een verouderde configuratie. Vraag of de leverancier een interoperabiliteitslijst publiceert voor precies de peer die je wilt gebruiken. Vraag wie de wijziging bezit wanneer een firmware-update een standaardvoorstel verandert.

Een hardwaregarantie is geen antwoord op een van die vragen.

Test daarna het paar voordat je je aan een vloot vastlegt. Eén tunnel, de echte voorstellen, de echte routingmodus en een overdracht die op de werklast lijkt, vertellen je meer dan welke specificatietabel dan ook.