Como escolher gateways VPN site a site que interoperam

Dois gateways de site de fornecedores diferentes formarão um túnel se as suas implementações concordarem quanto aos parâmetros que são negociados. Marcas idênticas não são um requisito, e marcas iguais também não são garantia. A questão da compatibilidade é sobre funções e versões; a questão da capacidade é sobre o trabalho que o equipamento tem de fazer em software. Trate-as como duas verificações, exatamente nessa ordem.

Percorra a lista e pare no primeiro item que não tiver resposta.

Comece pelas funções do protocolo, não pela marca

Para o protocolo que pretende executar, liste o que o projeto exige: o método de autenticação, as propostas de cifra e integridade acordadas, a interface ou a construção de tráfego protegido, o modo de encaminhamento e se algum dos lados está atrás de NAT. Cada uma delas é uma função que a implementação tem de suportar, não uma caixa de seleção numa página de produto.

Os requisitos de gateway de cliente da AWS são um modelo útil mesmo que não esteja a ligar-se à AWS, porque enunciam o contrato como um conjunto de obrigações de protocolo e de encaminhamento. Um ficheiro de exemplo do fornecedor para um modelo específico é uma prova razoável de que alguém testou essa combinação. Um rótulo genérico que afirma suporte a IPsec não prova nem a versão nem o modelo de política. Leia as notas de lançamento em vez do resumo de marketing.

Verifique a versão, não o rótulo da ficha técnica

A interoperabilidade do IKEv2 decide-se pelos parâmetros negociados, portanto a pergunta é que propostas o firmware atual oferece e aceita. Um equipamento que suporta o protocolo em geral pode ainda recusar a combinação concreta que a outra ponta exige. Confirme a cadeia de versão e a lista de propostas nos dois lados.

Uma nota de que uma função chegou numa série de firmware posterior é suficientemente comum para merecer o seu próprio item na lista de verificação.

Trate a capacidade como uma questão separada

A cifra custa trabalho, e quanto depende da implementação tanto como do algoritmo. Alguns caminhos de aceleração aplicam-se apenas a algoritmos concretos ou a caminhos de reenvio concretos, pelo que um equipamento pode ser rápido numa configuração e lento noutra. O débito normal de uma WAN não é o débito de um túnel cifrado. Dimensione o equipamento em função do tráfego que realmente vai proteger.

O tamanho do pacote também importa, porque a encapsulação e qualquer sobrecarga adicional reduzem a carga útil que cada pacote transporta.

Decida a política de encaminhamento de forma explícita

Site a site não significa que só o tráfego selecionado possa usar o túnel, nem que tudo tenha de o usar. Um projeto pode transportar prefixos privados específicos ou encaminhar uma rota predefinida através do gateway. Escolha uma e escreva-a, porque as duas pontas têm de concordar sobre o que é anunciado e o que é aceite. Uma divergência aqui produz um túnel que está ativo e uma rede que só é alcançável pela metade.

Os projetos com encaminhamento dinâmico acrescentam outro requisito: suporte ao protocolo de encaminhamento nas duas pontas.

O que comparar antes de comprar

Compare a cadência de atualizações, as provas de interoperabilidade, a recuperação da configuração e o comportamento de comutação previsto ao lado da velocidade máxima de transferência. Pergunte o que acontece quando o equipamento reinicia com uma configuração desatualizada. Pergunte se o fornecedor publica uma lista de interoperabilidade para o par exato que pensa usar. Pergunte a quem pertence a alteração quando uma atualização de firmware modifica uma proposta predefinida.

Uma garantia de hardware não é resposta a nenhuma dessas perguntas.

Depois teste o par antes de se comprometer com uma frota. Um túnel, as propostas reais, o modo de encaminhamento real e uma transferência parecida com a carga de trabalho dir-lhe-ão mais do que qualquer tabela de especificações.