Концентратор или шлюз? Где на вашем пути находится терминатор VPN

Два поставщика могут называть одно и то же устройство концентратором и шлюзом, и ни одно из этих слов не скажет, где расшифровывается трафик. Ярлыки описывают роли при развёртывании, а не протоколы, и роли пересекаются во всех направлениях. Для обзора проекта важны устройство, которое завершает туннель, средства контроля вокруг него и путь, который проходит расшифрованный запрос. Решайте по этим трём, и существительное в спецификации перестанет быть аргументом.

Два ярлыка, одно решение

Концентратор обычно означает центральную систему, которая принимает и обслуживает множество подключений одновременно, и слово несёт оттенок масштаба. Шлюз — более широкий термин для конечной точки, соединяющей туннель с сетями за ней, и он может описывать маршрутизатор, межсетевой экран или управляемый сервис. Ни одно слово не называет протокол и ни одно не обещает определённый набор функций. Одно и то же устройство два поставщика могут продавать под обоими именами, и поэтому спор о терминологии не заканчивается никогда.

Относитесь к ярлыку как к подсказке о предполагаемом применении и не более. Решение принадлежит функциям, которые можно проверить в конфигурации, а не словам в брошюре.

Найдите устройство, которое действительно завершает туннель

Проследите клиентское подключение снаружи внутрь. Что-то принимает транспорт, что-то аутентифицирует партнёра, что-то назначает клиенту адрес, что-то авторизует назначение, и что-то обеспечивает обратный маршрут. Эти пять функций могут жить на одном устройстве или на пяти, и единственный полезный вопрос — какое устройство что делает. Маршрутизатор выше по пути может переносить внешние пакеты, никогда их не расшифровывая, и именно в этом случае схема топологии подталкивает рецензента назвать не то устройство.

Подтвердите завершение на самом кандидатеа не по чертежу. Слушающий сокет на ожидаемом порту вместе с установленной записью состояния — более сильное доказательство, чем схема сети, а отсутствие обоих ещё сильнее.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Решайте по пяти свойствам, а не по названию продукта

Пять свойств отличают кандидатов, и на каждое можно ответить по документации, а не по маркетингу. Какие роли VPN поддерживает этот выпуск, какие источники идентичности может использовать, какую область пересылки допускает, какую ёмкость держит и как ведёт себя при отказе. Запросите эти пять письменно, и ярлык перестанет иметь значение для решения.

Ёмкость — это свойство, на которое ярлык концентратора намекает сильнее всего, и оно чаще всего остаётся неопределённым. Ограничения одновременности, пропускная способность на туннель и общая пропускная способность — три разных числа, и устройство может быть щедрым в одном и скупым в другом. Высокая доступность — свойство пары, а не любого из устройств, и оно относится к вопросу восстановления. Ярлык, намекающий на масштаб, не является спецификацией масштаба.

Восстановление относится к тому же разговору. Спросите, как администратор попадает на устройство, когда сам туннель — сломанный компонент, потому что внеполосный путь — это проектное решение, а не аксессуар.

Проверьте доказательства до ярлыка

Текущий сервис следует оценивать по поддерживаемым ролям, политике идентичности, области пересылки, ёмкости и поведению при восстановлении, причём ответы должны относиться к той версии, которую вы развернёте. Исторический обзор может объяснить, почему существует слово концентратор, но он не может сказать, что поддерживает текущий выпуск.Обзор Cisco VPNименно поэтому является полезным терминологическим контекстом, и относиться к нему как к актуальному списку функций — это путь, которым обзор проекта идёт не так.

Затем проверьте одно утверждение от начала до конца. Выберите свойство, которое важнее всего, например пропускную способность на туннель или время переключения, и спросите метод измерения, а не число. Быстрая локальная проверка того, что устройство действительно показывает, — разумное начало.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

В Linux первая строка считает ассоциации безопасности, а у туннеля их обычно две, по одной на направление, поэтому разделите число на два, прежде чем сравнивать его с утверждением о туннелях. На хосте strongSwan вторая строка называет туннели напрямую. Подсчёт сокетов это не заменяет: IPsec NAT-T держит один общий сокет UDP 4500 для всех туннелей, поэтому подсчёт сокетов на этом порту даёт ноль или единицу, сколько бы туннелей ни было. Ни одна из строк не является измерением пропускной способности, и ни одна не предсказывает поведение под нагрузкой. Они дают единицу, о которой нужно спрашивать, а поставщик, умеющий описать метод, имеет спецификацию там, где не умеющий имеет брошюру.

Запишите путь, и ярлыки перестанут иметь значение

Опишите архитектуру как список функций с владельцами: завершение, аутентификация, назначение адресов, авторизация, обратная маршрутизация, журналирование и восстановление. Это описание переживает переименование продукта, смену поставщика и поглощение, и ни одно из них не обновит вашу схему.

Раз в квартал сверяйте его с реальной клиентской сессией, потому что функция может переместиться без того, чтобы кто-то правил чертёж. Ярлыки продолжат меняться, а список владельцев останется тем, что действительно объясняет сеть.