Porque SSL VPN e VPN site-a-site não são opostos
SSL VPN e VPN site-a-site descrevem eixos diferentes: quem se junta à rede e como o túnel é construído. Nomear ambos ao mesmo tempo é um erro de categoria.
Peça a dois administradores que descrevam a mesma VPN e um pode responder «SSL VPN» enquanto o outro diz «site-a-site», como se fossem opções rivais num menu. São respostas a perguntas diferentes, e tratá-las como alternativas produz comparações que não podem ser resolvidas. Um rótulo diz que extremos são unidos; o outro diz o que transporta o tráfego entre eles. Mantenha os eixos separados e a maior parte da discussão desaparece.
Dois rótulos, duas perguntas separadas
A topologia responde a quem se junta a quê. Um desenho de acesso remoto liga utilizadores ou dispositivos individuais a um gateway, normalmente com identidade por utilizador e um conjunto de endereços. Um desenho site-a-site liga duas redes através de gateways, pelo que a identidade interessante é o gateway par e não a pessoa ao teclado. São problemas operacionais diferentes, do planeamento de endereços a quem pode revogar o acesso às 2 da manhã.
O mecanismo responde a como o túnel é construído e autenticado. IPsec com IKEv2, um produto baseado em TLS que transporta IP dentro de si, e um portal de aplicações virado para o navegador são escolhas de mecanismo, e cada uma tem a sua negociação, os seus conjuntos de cifra e os seus modos de falha. Nenhuma implica uma topologia, e uma topologia não escolhe um mecanismo.
Coloque os dois eixos numa tabela e a confusão torna-se visível, porque cada célula da grelha pode ser preenchida. O que a grelha não pode fazer é dizer-lhe que combinação o seu fornecedor entregou, uma vez que os nomes de produto colapsam ambos os eixos numa única frase de marketing.
De onde vem o erro de categoria
Os fornecedores venderam «SSL VPN» durante anos como o oposto de «IPsec VPN», o que fazia uma comparação de mecanismos parecer uma escolha de topologia. A expressão também envelheceu mal nos seus próprios termos, porque os desenhos atuais usam versões de TLS suportadas e o nome SSL sobrevive sobretudo como categoria de produto.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Dois mitos relacionados decorrem do mesmo colapso. O primeiro é que IPsec significa site-a-site; o IKEv2 foi também concebido para relações cliente-gateway, pelo que um portátil individual pode juntar-se com IPsec. O segundo é que um produto baseado em TLS significa apenas acesso remoto; OpenVPN é usado rotineiramente para transportar tráfego entre dois sites, e o seu uso de TLS concentra-se na troca de controlo e autenticação e não numa sessão de navegador.
Um teste útil para qualquer descrição: se trocar uma palavra altera tanto os extremos como o protocolo, a frase está a misturar os eixos. «SSL VPN versus site-a-site» falha esse teste, porque o primeiro termo nomeia uma família de mecanismos e o segundo uma topologia.
Descreva uma implementação para que possa ser comparada
Escreva quatro campos e preencha-os: extremos, mecanismo, autenticação e superfície de acesso. Uma ligação de filial pode ler-se como um par de gateways IKEv2 entre dois prefixos nomeados com autenticação por certificado e sem portal ao nível do utilizador. Um serviço de acesso remoto pode ler-se como um cliente baseado em TLS que atribui endereços por utilizador, exige um segundo fator no início de sessão e publica apenas uma zona DNS interna.
Essas frases são comparáveis de uma forma que os nomes de produto não são. Dois desenhos de acesso remoto podem ser medidos contra o mesmo fluxo de trabalho do utilizador e o mesmo caminho de revogação, e dois desenhos entre sites contra a mesma lista de prefixos, política de tráfego e requisitos de falha. Os rótulos organizam a comparação; não a substituem.
A terminologia tem também uma âncora publicada. O documento de terminologia VPN do IETF separa vários modelos de serviço, incluindo acesso remoto e site-a-site, dos mecanismos com que são construídos, e é exatamente a distinção que não pára de se perder.
Leia o protocolo negociado, não o nome do produto
O rótulo na caixa não estabelece aquilo em que um túnel em funcionamento concordou. Pergunte ao par diretamente, do lado TLS, e leia a versão de protocolo e a cifra que o aperto de mão produziu em vez da versão do folheto.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefPara um gateway IPsec a observação equivalente vem da saída de estado da própria implementação, que relata as propostas IKE e ESP em uso. De qualquer forma, o ponto é o mesmo: o eixo do mecanismo tem de ser lido da sessão viva, porque um cliente e um gateway podem negociar em baixa até algo mais antigo do que qualquer um dos administradores esperava.
ipsec statusall | grep -E "IKE|ESP"Depois disso, as perguntas que restam são as que nenhum rótulo responde. Que versões de protocolo ainda são aceites, como é validada a identidade do gateway, que conjunto de algoritmos é permitido, quem autoriza um determinado utilizador para um determinado recurso e o que revoga o acesso quando um dispositivo se perde. Um diagrama de topologia e um nome de mecanismo são o início dessa lista, não um substituto dela.
Mantenha, pois, os dois rótulos, mas use-os para o que são: uma forma curta de dizer que extremos são unidos e como o túnel é construído. No momento em que um é usado para excluir o outro, a descrição deixou de descrever qualquer coisa.