Concentrador ou gateway? Onde fica o terminador VPN no seu caminho

Dois fornecedores podem chamar o mesmo equipamento de concentrador e de gateway, e nenhuma das duas palavras dirá onde o tráfego é descriptografado. Os rótulos descrevem funções de implantação e não protocolos, e as funções se sobrepõem em todas as direções. O que importa numa revisão de projeto é o dispositivo que termina o túnel, os controles ao seu redor e o caminho que uma requisição descriptografada percorre. Decida a partir desses três, e o substantivo na folha de dados deixa de ser um argumento.

Dois rótulos, uma decisão

Um concentrador costuma designar o sistema central que recebe e gerencia muitas conexões ao mesmo tempo, e a palavra carrega uma implicação de escala. Um gateway é o termo mais amplo para um ponto final que une um túnel às redes atrás dele, e pode descrever um roteador, um firewall ou um serviço gerenciado. Nenhuma das palavras nomeia um protocolo, e nenhuma promete um conjunto de recursos específico. O mesmo equipamento pode ser vendido com os dois nomes por dois fornecedores, e por isso a discussão sobre terminologia nunca se resolve.

Trate o rótulo como uma pista sobre o uso pretendido e nada mais. A decisão pertence às funções que você pode verificar na configuração, não às palavras do folheto.

Encontre o dispositivo que realmente termina

Siga uma conexão de cliente de fora para dentro. Algo aceita o transporte, algo autentica o par, algo atribui um endereço ao cliente, algo autoriza um destino e algo fornece uma rota de retorno. Essas cinco funções podem viver num único dispositivo ou em cinco, e a única pergunta útil é qual dispositivo faz o quê. Um roteador mais acima pode transportar os pacotes externos sem nunca descriptografá-los, e é exatamente o caso em que um diagrama de topologia leva o revisor a nomear o equipamento errado.

Confirme a terminação no próprio candidatoe não a partir do desenho. Um socket à escuta na porta esperada junto com uma entrada de estado estabelecida é uma prova mais forte do que um diagrama de rede, e a ausência de ambos é ainda mais forte.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Decida por cinco propriedades, não pelo nome do produto

Cinco propriedades separam os candidatos, e cada uma pode ser respondida a partir da documentação e não do marketing. Quais funções de VPN esta versão suporta, quais fontes de identidade pode usar, qual escopo de encaminhamento permite, quanta capacidade sustenta e como se comporta em caso de falha. Peça essas cinco por escrito e o rótulo fica irrelevante para a decisão.

A capacidade é a propriedade que o rótulo de concentrador mais fortemente sugere, e é a que mais frequentemente fica vaga. Limites de simultaneidade, vazão por túnel e vazão total são três números diferentes, e um dispositivo pode ser generoso num e mesquinho no outro. A alta disponibilidade é uma propriedade do par e não de qualquer um dos equipamentos, e pertence à pergunta de recuperação. Um rótulo que sugere escala não é uma especificação de escala.

A recuperação faz parte da mesma conversa. Pergunte como o administrador chega ao dispositivo quando o próprio túnel é o componente quebrado, porque um caminho fora de banda é uma decisão de projeto e não um acessório.

Verifique as evidências antes do rótulo

Um serviço atual deve ser avaliado por funções suportadas, política de identidade, escopo de encaminhamento, capacidade e comportamento de recuperação, com respostas específicas para a versão que você implantaria. Uma visão histórica pode explicar por que a palavra concentrador existe, mas não pode dizer o que uma versão atual suporta.Visão geral do Cisco VPNé um contexto terminológico útil exatamente por isso, e tratá-la como uma lista de recursos atual é como uma revisão de projeto dá errado.

Depois verifique uma afirmação de ponta a ponta. Escolha a propriedade que mais importa, como vazão por túnel ou tempo de failover, e peça o método de medição em vez do número. Uma verificação local rápida do que o dispositivo realmente expõe é um começo razoável.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

No Linux a primeira linha conta associações de segurança, e um túnel normalmente tem duas, uma por direção, então divida a contagem por dois antes de compará-la com uma afirmação sobre túneis. Num host com strongSwan a segunda linha nomeia os túneis diretamente. A contagem de sockets não substitui isso: o IPsec NAT-T mantém um único socket UDP 4500 compartilhado por todos os túneis, então contar sockets nessa porta retorna zero ou um, por mais túneis que existam. Nenhuma das linhas é uma medição de vazão, e nenhuma prevê o comportamento sob carga. O que elas dão é a unidade pela qual perguntar, e um fornecedor que sabe descrever o método tem uma especificação onde um que não sabe tem um folheto.

Escreva o caminho e os rótulos deixam de importar

Descreva a arquitetura como uma lista de funções com responsáveis: terminação, autenticação, atribuição de endereços, autorização, roteamento de retorno, registro e recuperação. Essa descrição sobrevive a uma mudança de nome de produto, a uma troca de fornecedor e a uma aquisição, e nenhuma delas vai atualizar o seu diagrama.

Revise-a contra uma sessão de cliente real uma vez por trimestre, porque uma função pode se deslocar sem que ninguém edite o desenho. Os rótulos vão continuar mudando, e a lista de responsáveis vai continuar sendo o que realmente explica a rede.