Concentrator sau gateway? Unde se află terminatorul VPN pe traseul tău

Doi furnizori pot numi același echipament concentrator și gateway, iar niciunul dintre cele două cuvinte nu îți va spune unde este decriptat traficul. Etichetele descriu roluri de implementare, nu protocoale, iar rolurile se suprapun în toate direcțiile. Într-o revizuire de proiectare contează dispozitivul care termină tunelul, controalele din jurul lui și traseul pe care merge o cerere decriptată. Decide pe baza acestor trei, iar substantivul de pe fișa tehnică încetează să mai fie un argument.

Două etichete, o decizie

Un concentrator desemnează de obicei sistemul central care primește și administrează multe conexiuni simultan, iar cuvântul poartă o sugestie de scară. Un gateway este termenul mai larg pentru un punct final care leagă un tunel de rețelele din spatele lui și poate descrie un router, un firewall sau un serviciu administrat. Niciunul dintre cuvinte nu numește un protocol și niciunul nu promite un set anume de funcții. Același echipament poate fi vândut sub ambele nume de doi furnizori, și de aceea dezbaterea terminologică nu se încheie niciodată.

Tratează eticheta ca pe un indiciu despre utilizarea intenționată și nimic mai mult. Decizia aparține funcțiilor pe care le poți verifica în configurație, nu cuvintelor din broșură.

Găsește dispozitivul care chiar termină tunelul

Urmărește o conexiune de client din exterior spre interior. Ceva acceptă transportul, ceva autentifică partenerul, ceva atribuie clientului o adresă, ceva autorizează o destinație și ceva furnizează o rută de întoarcere. Aceste cinci funcții pot sta pe un singur dispozitiv sau pe cinci, iar singura întrebare utilă este care dispozitiv face ce. Un router mai sus poate transporta pachetele externe fără să le decripteze vreodată, și exact acesta este cazul în care o diagramă de topologie îl face pe recenzent să numească echipamentul greșit.

Confirmă terminarea pe candidatul însușiși nu din desen. Un socket care ascultă pe portul așteptat împreună cu o intrare de stare stabilită este o dovadă mai puternică decât o diagramă de rețea, iar absența ambelor este și mai puternică.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Decide după cinci proprietăți, nu după numele produsului

Cinci proprietăți separă candidații, și fiecare poate fi documentată, nu doar promovată. Ce roluri VPN suportă această versiune, ce surse de identitate poate folosi, ce sferă de forwarding permite, câtă capacitate susține și cum se comportă la eșec. Cere aceste cinci în scris și eticheta devine irelevantă pentru decizie.

Capacitatea este proprietatea pe care eticheta de concentrator o sugerează cel mai puternic și cea care rămâne cel mai des vagă. Limitele de concurență, debitul pe tunel și debitul total sunt trei numere diferite, iar un dispozitiv poate fi generos la unul și zgârcit la altul. Disponibilitatea ridicată este o proprietate a perechii și nu a vreunuia dintre echipamente, și aparține întrebării despre recuperare. O etichetă care sugerează scară nu este o specificație a scării.

Recuperarea face parte din aceeași discuție. Întreabă cum ajunge administratorul la dispozitiv atunci când tunelul însuși este componenta defectă, pentru că o cale în afara benzii este o decizie de proiectare, nu un accesoriu.

Verifică dovezile înainte de etichetă

Un serviciu actual ar trebui evaluat după rolurile suportate, politica de identitate, sfera de forwarding, capacitate și comportamentul de recuperare, cu răspunsuri specifice versiunii pe care ai implementa-o. O privire istorică poate explica de ce există cuvântul concentrator, dar nu poate spune ce suportă o versiune actuală.Prezentare generală Cisco VPNeste un context terminologic util exact din acest motiv, iar tratarea ei ca listă actuală de funcții este modul în care o revizuire de proiectare merge prost.

Apoi verifică o afirmație de la un capăt la altul. Alege proprietatea care contează cel mai mult, cum ar fi debitul pe tunel sau timpul de comutare, și cere metoda de măsurare, nu numărul. O verificare locală rapidă a ceea ce expune efectiv dispozitivul este un început rezonabil.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Pe Linux prima linie numără asocierile de securitate, iar un tunel are de obicei două, una pentru fiecare direcție, așa că împarte numărul la doi înainte de a-l compara cu o afirmație despre tuneluri. Pe un host strongSwan a doua linie numește tunelurile direct. Numărarea socketurilor nu înlocuiește asta: IPsec NAT-T păstrează un singur socket UDP 4500 partajat de toate tunelurile, așa că numărarea socketurilor pe acel port dă zero sau unu, oricâte tuneluri ar exista. Niciuna dintre linii nu este o măsurare a debitului și niciuna nu prezice comportamentul sub sarcină. Ele îți dau unitatea despre care să întrebi, iar un furnizor care poate descrie metoda are o specificație acolo unde unul care nu poate are o broșură.

Scrie traseul și etichetele încetează să mai conteze

Descrie arhitectura ca o listă de funcții cu responsabili: terminare, autentificare, alocare de adrese, autorizare, rutare de întoarcere, jurnalizare și recuperare. Această descriere supraviețuiește unei schimbări de nume de produs, unei schimbări de furnizor și unei achiziții, iar niciuna dintre ele nu îți va actualiza diagrama.

Revizuiește-o față de o sesiune reală de client o dată pe trimestru, pentru că o funcție se poate muta fără ca cineva să editeze desenul. Etichetele vor continua să se schimbe, iar lista de responsabili va continua să fie ceea ce explică cu adevărat rețeaua.