Koncentrator czy brama? Gdzie na twojej drodze leży zakończenie VPN

Dwaj dostawcy mogą nazwać to samo urządzenie koncentratorem i bramą, i żadne z tych słów nie powie ci, gdzie ruch jest odszyfrowywany. Etykiety opisują role wdrożeniowe, a nie protokoły, a role nakładają się na siebie w każdym kierunku. W przeglądzie projektu liczy się urządzenie, które kończy tunel, kontrola wokół niego i ścieżka, którą podąża odszyfrowane żądanie. Rozstrzygnij na podstawie tych trzech rzeczy, a rzeczownik z karty katalogowej przestanie być argumentem.

Dwie etykiety, jedna decyzja

Koncentrator zwykle oznacza system centralny, który przyjmuje i obsługuje wiele połączeń naraz, a słowo niesie sugestię skali. Brama to szersze określenie punktu końcowego, który łączy tunel z sieciami za nim, i może opisywać router, zaporę ogniową lub usługę zarządzaną. Żadne słowo nie nazywa protokołu i żadne nie obiecuje określonego zestawu funkcji. To samo urządzenie może być sprzedawane pod obiema nazwami przez dwóch dostawców i dlatego spór o terminologię nigdy się nie kończy.

Traktuj etykietę jako wskazówkę co do zamierzonego zastosowania i nic więcej. Decyzja należy do funkcji, które możesz sprawdzić w konfiguracji, a nie do słów z broszury.

Znajdź urządzenie, które naprawdę kończy tunel

Śledź połączenie klienta z zewnątrz do środka. Coś przyjmuje transport, coś uwierzytelnia drugą stronę, coś przydziela klientowi adres, coś autoryzuje cel, a coś dostarcza trasę powrotną. Te pięć funkcji może mieszkać na jednym urządzeniu lub na pięciu, a jedyne użyteczne pytanie brzmi, które urządzenie robi co. Router wyżej może przenosić pakiety zewnętrzne, nigdy ich nie odszyfrowując, i właśnie wtedy schemat topologii skłania recenzenta do wskazania niewłaściwego urządzenia.

Potwierdź zakończenie na samym kandydaciea nie z rysunku. Nasłuchujący socket na oczekiwanym porcie wraz z nawiązanym wpisem stanu to mocniejszy dowód niż schemat sieci, a brak obu jest jeszcze mocniejszy.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Decyduj na podstawie pięciu właściwości, nie nazwy produktu

Pięć właściwości odróżnia kandydatów, a każdą można udokumentować, a nie tylko zareklamować. Jakie role VPN obsługuje to wydanie, z jakich źródeł tożsamości może korzystać, jaki zakres przekazywania dopuszcza, jaką wydajność utrzymuje i jak zachowuje się przy awarii. Poproś o te pięć na piśmie, a etykieta przestanie mieć znaczenie dla decyzji.

Wydajność to właściwość, którą etykieta koncentratora sugeruje najsilniej, i ta, która najczęściej pozostaje nieokreślona. Limity współbieżności, przepustowość na tunel i przepustowość całkowita to trzy różne liczby, a urządzenie może być hojne w jednej i skąpe w drugiej. Wysoka dostępność jest właściwością pary, a nie którejkolwiek z maszyn, i należy do pytania o odtworzenie. Etykieta sugerująca skalę nie jest specyfikacją skali.

Odtworzenie należy do tej samej rozmowy. Zapytaj, jak administrator dociera do urządzenia, gdy to sam tunel jest uszkodzonym elementem, ponieważ ścieżka poza pasmem jest decyzją projektową, a nie akcesorium.

Sprawdź dowody przed etykietą

Bieżącą usługę należy oceniać po obsługiwanych rolach, polityce tożsamości, zakresie przekazywania, wydajności i zachowaniu przy odtwarzaniu, a odpowiedzi powinny dotyczyć wersji, którą wdrażałbyś. Przegląd historyczny może wyjaśnić, dlaczego istnieje słowo koncentrator, ale nie powie, co obsługuje bieżące wydanie.Przegląd Cisco VPNjest właśnie dlatego użytecznym kontekstem terminologicznym, a traktowanie go jako bieżącej listy funkcji to sposób, w jaki przegląd projektu idzie nie tak.

Następnie zweryfikuj jedno twierdzenie od początku do końca. Wybierz właściwość, która liczy się najbardziej, na przykład przepustowość na tunel albo czas przełączenia, i poproś o metodę pomiaru, a nie o liczbę. Szybka lokalna kontrola tego, co urządzenie naprawdę pokazuje, jest rozsądnym początkiem.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

W Linuksie pierwszy wiersz liczy asocjacje bezpieczeństwa, a tunel ma ich zwykle dwie, po jednej na kierunek, więc podziel liczbę na pół, zanim porównasz ją z twierdzeniem o tunelu. Na hoście strongSwan drugi wiersz nazywa tunele wprost. Liczenie socketów tego nie zastępuje: IPsec NAT-T utrzymuje jeden współdzielony socket UDP 4500 dla wszystkich tuneli, więc liczenie socketów na tym porcie daje zero albo jeden, niezależnie od liczby tuneli. Żaden wiersz nie jest pomiarem przepustowości i żaden nie przewiduje zachowania pod obciążeniem. Dają ci jednostkę, o którą trzeba zapytać, a dostawca, który umie opisać metodę, ma specyfikację tam, gdzie ten, kto nie umie, ma broszurę.

Zapisz ścieżkę, a etykiety przestaną mieć znaczenie

Opisz architekturę jako listę funkcji wraz z właścicielami: zakończenie, uwierzytelnianie, przydział adresów, autoryzacja, routing powrotny, rejestrowanie i odtworzenie. Ten opis przetrwa zmianę nazwy produktu, zmianę dostawcy i przejęcie, a żadne z nich nie zaktualizuje twojego schematu.

Przeglądaj go wobec rzeczywistej sesji klienta raz na kwartał, ponieważ funkcja może się przesunąć, zanim ktokolwiek zmieni rysunek. Etykiety będą się dalej zmieniać, a lista właścicieli pozostanie tym, co naprawdę wyjaśnia sieć.