Jak wybrać współpracujące ze sobą bramy VPN między lokalizacjami

Dwie bramy lokalizacji różnych dostawców utworzą tunel, jeśli ich implementacje zgodzą się co do negocjowanych parametrów. Identyczne marki nie są warunkiem, a pasujące marki też nie są gwarancją. Kwestia zgodności dotyczy funkcji i wydań; kwestia wydajności dotyczy pracy, którą urządzenie musi wykonać w oprogramowaniu. Traktuj je jako dwie kontrole, dokładnie w tej kolejności.

Przejdź listę i zatrzymaj się na pierwszym punkcie, który nie ma odpowiedzi.

Zacznij od funkcji protokołu, nie od marki

Dla protokołu, który zamierzasz uruchomić, wypisz, czego wymaga projekt: metodę uwierzytelniania, uzgodnione propozycje szyfrowania i integralności, interfejs lub konstrukcję chronionego ruchu, tryb routingu oraz to, czy któraś strona znajduje się za NAT. Każda z nich jest funkcją, którą implementacja musi obsługiwać, a nie polem wyboru na stronie produktu.

Wymagania AWS dotyczące bramy klienta są użytecznym szablonem nawet wtedy, gdy nie łączysz się z AWS, ponieważ ujmują umowę jako zbiór zobowiązań w zakresie protokołu i routingu. Przykładowy plik dostawcy dla konkretnego modelu to przyzwoity dowód, że ktoś przetestował tę kombinację. Ogólna etykieta twierdząca, że obsługuje IPsec, nie dowodzi ani wersji, ani modelu polityki. Czytaj informacje o wydaniu, a nie streszczenie marketingowe.

Sprawdź wydanie, nie etykietę karty katalogowej

Współdziałanie IKEv2 rozstrzygają negocjowane parametry, więc pytanie brzmi, jakie propozycje oferuje i przyjmuje obecny firmware. Urządzenie, które ogólnie obsługuje protokół, może nadal odrzucić konkretną kombinację, na której upiera się druga strona. Potwierdź ciąg wersji i listę propozycji po obu stronach.

Uwaga, że funkcja pojawiła się w późniejszej serii firmware, jest wystarczająco częsta, by zasłużyć na osobny punkt listy kontrolnej.

Traktuj wydajność jako odrębne pytanie

Szyfrowanie kosztuje pracę, a ile, zależy od implementacji tak samo jak od algorytmu. Niektóre ścieżki przyspieszania dotyczą tylko określonych algorytmów lub określonych ścieżek przekazywania, więc urządzenie może być szybkie w jednej konfiguracji, a wolne w innej. Zwykła przepustowość WAN to nie przepustowość szyfrowanego tunelu. Dobierz urządzenie do ruchu, który naprawdę będziesz chronić.

Rozmiar pakietu też ma znaczenie, ponieważ enkapsulacja i każdy dodatkowy narzut zmniejszają ładunek, który niesie każdy pakiet.

Ustal politykę routingu wprost

Między lokalizacjami nie oznacza, że tunelu może używać tylko wybrany ruch, ani że wszystko musi. Projekt może przenosić określone prywatne prefiksy albo kierować trasę domyślną przez bramę. Wybierz jedną i zapisz ją, ponieważ obie strony muszą się zgodzić, co jest ogłaszane, a co akceptowane. Niezgodność tutaj daje tunel, który jest podniesiony, i sieć, która jest w połowie osiągalna.

Projekty z routingiem dynamicznym dodają jeszcze jeden wymóg: obsługa protokołu routingu po obu stronach.

Co porównać przed zakupem

Porównaj częstotliwość aktualizacji, dowody współdziałania, odtwarzanie konfiguracji i zamierzone zachowanie przy przełączaniu obok szczytowej szybkości transferu. Zapytaj, co się dzieje, gdy urządzenie uruchomi się ponownie z nieaktualną konfiguracją. Zapytaj, czy dostawca publikuje listę współdziałania dla dokładnie tego partnera, którego planujesz użyć. Zapytaj, do kogo należy zmiana, gdy aktualizacja firmware zmienia propozycję domyślną.

Gwarancja sprzętowa nie jest odpowiedzią na żadne z tych pytań.

Potem przetestuj parę, zanim zobowiążesz się do całej floty. Jeden tunel, prawdziwe propozycje, prawdziwy tryb routingu i transfer podobny do obciążenia powiedzą ci więcej niż jakakolwiek tabela specyfikacji.