Konsentrator eller gateway? Kvar VPN-termineringa ligg i løypa di

To leverandørar kan kalle same boksen ein konsentrator og ein gateway, og ingen av orda fortel deg kvar trafikken blir dekryptert. Etikettene skildrar utrullingsroller framfor protokollar, og rollene overlappar i alle retningar. Det som tel i ein designgjennomgang, er eininga som terminerer tunnelen, kontrollane rundt henne og løypa ein dekryptert førespurnad tek. Avgjer ut frå dei tre, og substantivet på databladet sluttar å vere eit argument.

To etikettar, éi avgjerd

Ein konsentrator tyder vanlegvis det sentrale systemet som tek imot og administrerer mange tilkoplingar samstundes, og ordet antydar skala. Ein gateway er det breiare uttrykket for eit endepunkt som koplar ein tunnel til netta bak han, og det kan skildre ein ruttar, ein brannmur eller ei administrert teneste. Ingen av orda namngir ein protokoll, og ingen av dei lovar eit bestemt funksjonssett. Same eininga kan seljast under begge namna av to leverandørar, og difor blir terminologidebatten aldri avgjord.

Behandle etiketten som eit hint om tiltenkt bruk og ikkje noko meir. Avgjerda høyrer til funksjonane du kan verifisere i konfigurasjonen, ikkje orda i brosjyren.

Finn eininga som faktisk terminerer

Følg ei klienttilkopling utanfrå og inn. Noko tek imot transporten, noko autentiserer motparten, noko tildeler klienten ei adresse, noko autoriserer ein destinasjon, og noko leverer ei returrute. Desse fem funksjonane kan liggje på éi eining eller på fem, og det einaste nyttige spørsmålet er kva eining som gjer kva. Ein ruttar lenger opp kan bera dei ytre pakkane utan å dekryptere dei, og det er nettopp tilfellet der eit topologidiagram får ein gjennomgangar til å namngi feil boks.

Stadfest termineringa på kandidaten sjølvi staden for frå teikninga. Ein lyttande socket på forventa port pluss ein etablert tilstandsoppføring er sterkare prov enn eit nettverksdiagram, og fråværet av begge er endå sterkare.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Avgjer ut frå fem eigenskapar, ikkje produktnamnet

Fem eigenskapar skil kandidatane, og kvar av dei kan svarast frå dokumentasjon framfor marknadsføring. Kva VPN-roller støttar denne versjonen, kva identitetskjelder kan han bruke, kva vidaresendingsomfang tillèt han, kor mykje kapasitet toler han, og korleis oppfører han seg ved feil. Be om dei fem skriftleg, og etiketten blir utan tyding for avgjerda.

Kapasitet er den eigenskapen konsentratoretiketten antydar sterkast, og det er den som oftast blir ståande vag. Grenser for samtidigheit, gjennomstrøyming per tunnel og total gjennomstrøyming er tre ulike tal, og ei eining kan vere raus i det eine og gjerrig i det andre. Høg tilgjenge er ein eigenskap ved paret og ikkje ved nokon av boksane, og han høyrer til attopprettingsspørsmålet. Ein etikett som antydar skala, er ikkje ein spesifikasjon av skala.

Attoppretting høyrer til i den same samtalen. Spør korleis ein administrator når eininga når tunnelen sjølv er den øydelagde komponenten, fordi ei ut-av-band-løype er ei designavgjerd og ikkje eit tilhøyre.

Kontroller prova før etiketten

Ei aktuell teneste bør vurderast på støtta roller, identitetspolicy, vidaresendingsomfang, kapasitet og attopprettingsåtferd, med svar som er spesifikke for versjonen du ville rulle ut. Eit historisk oversyn kan forklare kvifor ordet konsentrator finst, men det kan ikkje fortelje deg kva ein aktuell versjon støttar.Cisco VPN-oversyner nettopp difor ein nyttig terminologisk kontekst, og å behandle han som ei aktuell funksjonsliste er måten ein designgjennomgang går gale på.

Verifiser så ein påstand frå ende til annan. Vel eigenskapen som tyder mest, som gjennomstrøyming per tunnel eller failover-tid, og be om målemetoden i staden for talet. Ein rask lokal kontroll av kva eininga faktisk viser, er ein rimeleg start.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

På Linux tel den første linja sikkerheitstilknytingar, og ein tunnel har normalt to av dei, éin per retning, så halver talet før du samanliknar det med ein tunnelpåstand. På ein strongSwan-vert namngir den andre linja tunnelane direkte. Eit socket-tal er inga erstatning: IPsec NAT-T held éin enkel UDP 4500-socket som blir delt av kvar tunnel, så teljing av sockets på den porten gjev null eller éin, uansett kor mange tunnelar som finst. Ingen av linjene er ei gjennomstrøymingsmåling, og ingen av dei føresegn om åtferd under last. Det dei gjev deg, er eininga du skal spørje om, og ein leverandør som kan skildre metoden, har ein spesifikasjon der ein som ikkje kan, har ein brosjyre.

Skriv ned løypa, og etikettene sluttar å tyde noko

Skildre arkitekturen som ei liste over funksjonar med eigarar: terminering, autentisering, adressetildeling, autorisasjon, returrutting, logging og attoppretting. Den skildringa overlever eit produktnamnbyte, eit leverandørbyte og ein overtaking, og ingen av dei oppdaterer diagrammet ditt.

Gå gjennom det mot ein ekte klientsesjon éin gong i kvartalet, fordi ein funksjon kan flytte seg utan at nokon redigerer teikninga. Etikettene vil halde fram med å endre seg, og eigarlista vil halde fram med å vere det som faktisk forklarer nettet.