Konsentrator eller gateway? Hvor VPN-termineringen ligger i løpet ditt

To leverandører kan kalle samme boks en konsentrator og en gateway, og ingen av ordene forteller deg hvor trafikken dekrypteres. Etikettene beskriver utrullingsroller fremfor protokoller, og rollene overlapper i alle retninger. Det som betyr noe i en designgjennomgang, er enheten som terminerer tunnelen, kontrollene rundt den og banen en dekryptert forespørsel tar. Avgjør ut fra de tre, og substantivet på databladet slutter å være et argument.

To etiketter, én avgjørelse

En konsentrator betyr vanligvis det sentrale systemet som mottar og administrerer mange tilkoblinger samtidig, og ordet antyder skala. En gateway er det bredere uttrykket for et endepunkt som kobler en tunnel til nettene bak den, og det kan beskrive en ruter, en brannmur eller en administrert tjeneste. Ingen av ordene navngir en protokoll, og ingen av dem lover et bestemt funksjonssett. Samme enhet kan selges under begge navn av to leverandører, og derfor blir terminologidebatten aldri avgjort.

Behandle etiketten som et hint om tiltenkt bruk og ikke noe mer. Avgjørelsen tilhører funksjonene du kan verifisere i konfigurasjonen, ikke ordene i brosjyren.

Finn enheten som faktisk terminerer

Følg en klienttilkobling utenfra og inn. Noe aksepterer transporten, noe autentiserer motparten, noe tildeler klienten en adresse, noe autoriserer en destinasjon, og noe leverer en returrute. Disse fem funksjonene kan ligge på én enhet eller på fem, og det eneste nyttige spørsmålet er hvilken enhet som gjør hva. En ruter lenger opp kan bære de ytre pakkene uten å dekryptere dem, og det er nettopp tilfellet der et topologidiagram får en gjennomganger til å navngi feil boks.

Bekreft termineringen på kandidaten selvi stedet for fra tegningen. En lyttende socket på forventet port pluss en etablert tilstandsoppføring er sterkere bevis enn et nettverksdiagram, og fraværet av begge er enda sterkere.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Bestem ut fra fem egenskaper, ikke produktnavnet

Fem egenskaper skiller kandidatene, og hver av dem kan besvares fra dokumentasjon fremfor markedsføring. Hvilke VPN-roller støtter denne versjonen, hvilke identitetskilder kan den bruke, hvilket videresendingsomfang tillater den, hvor mye kapasitet tåler den, og hvordan oppfører den seg ved feil. Be om de fem skriftlig, og etiketten blir uten betydning for beslutningen.

Kapasitet er den egenskapen konsentratoretiketten antyder sterkest, og det er den som oftest blir stående vag. Grenser for samtidighet, gjennomstrømning per tunnel og total gjennomstrømning er tre forskjellige tall, og en enhet kan være raus i det ene og gjerrig i det andre. Høy tilgjengelighet er en egenskap ved paret og ikke ved noen av boksene, og den hører til gjenopprettingsspørsmålet. En etikett som antyder skala, er ikke en spesifikasjon av skala.

Gjenoppretting tilhører den samme samtalen. Spør hvordan en administrator når enheten når tunnelen selv er den ødelagte komponenten, fordi en ut-av-bånd-bane er en designbeslutning og ikke et tilbehør.

Kontroller bevisene før etiketten

En aktuell tjeneste bør vurderes på støttede roller, identitetspolicy, videresendingsomfang, kapasitet og gjenopprettingsatferd, med svar som er spesifikke for versjonen du ville rullet ut. En historisk oversikt kan forklare hvorfor ordet konsentrator finnes, men den kan ikke fortelle deg hva en aktuell versjon støtter.Cisco VPN-oversikter nettopp derfor en nyttig terminologisk kontekst, og å behandle den som en aktuell funksjonsliste er måten en designgjennomgang går galt på.

Verifiser så én påstand fra ende til annen. Velg egenskapen som betyr mest, som gjennomstrømning per tunnel eller failover-tid, og be om målemetoden i stedet for tallet. En rask lokal kontroll av hva enheten faktisk viser, er en rimelig start.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

På Linux teller den første linjen sikkerhetstilknytninger, og en tunnel har normalt to av dem, én per retning, så halver antallet før du sammenligner det med en tunnelpåstand. På en strongSwan-vert navngir den andre linjen tunnelene direkte. Et socketantall er ingen erstatning: IPsec NAT-T holder én enkelt UDP 4500-socket som deles av hver tunnel, så telling av sockets på den porten gir null eller én, uansett hvor mange tunneler som finnes. Ingen av linjene er en gjennomstrømningsmåling, og ingen av dem forutsier atferd under last. Det de gir deg, er den enheten du skal spørre om, og en leverandør som kan beskrive metoden, har en spesifikasjon der en som ikke kan, har en brosjyre.

Noter løpet, og etikettene slutter å bety noe

Beskriv arkitekturen som en liste over funksjoner med eiere: terminering, autentisering, adressetildeling, autorisasjon, returruting, logging og gjenoppretting. Den beskrivelsen overlever et produktnavnbytte, et leverandørbytte og en overtakelse, og ingen av dem oppdaterer diagrammet ditt.

Se den over mot en ekte klientsesjon én gang i kvartalet, siden en funksjon kan flytte seg uten at noen redigerer tegningen. Etikettene vil fortsette å endre seg, og eierlisten vil fortsette å være det som faktisk forklarer nettverket.