Как выбрать межсайтовые VPN-шлюзы, которые работают вместе

Два сайтовых шлюза от разных поставщиков образуют туннель, если их реализации договорятся о согласуемых параметрах. Одинаковые марки не являются требованием, и совпадающие марки тоже не гарантия. Вопрос совместимости касается функций и выпусков; вопрос ёмкости касается работы, которую устройство должно выполнить в программном обеспечении. Рассматривайте их как две проверки, именно в таком порядке.

Пройдите список по порядку и остановитесь на первом пункте, на который нет ответа.

Начните с функций протокола, а не с марки

Для протокола, который вы собираетесь запускать, перечислите, что нужно проекту: метод аутентификации, согласованные предложения по шифрованию и целостности, интерфейс или конструкцию защищённого трафика, режим маршрутизации и то, находится ли какая-либо сторона за NAT. Каждый из них — функция, которую реализация обязана поддерживать, а не галочка на странице продукта.

Требования AWS к клиентскому шлюзу полезны как шаблон даже если вы не подключаетесь к AWS, потому что они излагают договор как набор обязательств по протоколу и маршрутизации. Примерочный файл поставщика для конкретной модели — достойное доказательство того, что кто-то проверил такую комбинацию. Общая этикетка с заявлением о поддержке IPsec не доказывает ни версию, ни модель политики. Читайте примечания к выпуску, а не маркетинговое резюме.

Проверяйте выпуск, а не этикетку в спецификации

Совместимость IKEv2 решается согласованными параметрами, поэтому вопрос в том, какие предложения предлагает и принимает текущая прошивка. Устройство, которое поддерживает протокол в целом, всё равно может отклонить конкретную комбинацию, на которой настаивает ваша другая сторона. Подтвердите строку версии и список предложений с обеих сторон.

Замечание о том, что функция появилась в более поздней ветке прошивки, встречается достаточно часто, чтобы заслуживать отдельного пункта в контрольном списке.

Рассматривайте ёмкость как отдельный вопрос

Шифрование стоит работы, и сколько именно зависит от реализации не меньше, чем от алгоритма. Некоторые пути ускорения действуют только для определённых алгоритмов или определённых путей пересылки, поэтому устройство может быть быстрым в одной конфигурации и медленным в другой. Обычная пропускная способность WAN — это не пропускная способность шифрованного туннеля. Подбирайте устройство под трафик, который вы действительно будете защищать.

Размер пакета тоже важен, потому что инкапсуляция и любые дополнительные накладные расходы уменьшают полезную нагрузку, которую несёт каждый пакет.

Определите политику маршрутизации явно

Межсайтовый режим не означает, что туннель может использовать только выбранный трафик, и не означает, что через него обязано идти всё. Проект может нести определённые частные префиксы или направлять маршрут по умолчанию через шлюз. Выберите один вариант и запишите его, потому что обе стороны должны договориться, что анонсируется и что принимается. Несогласованность здесь даёт туннель, который поднят, и сеть, которая доступна наполовину.

Динамически маршрутизируемые проекты добавляют ещё одно требование: поддержка протокола маршрутизации с обеих сторон.

Что сравнить перед покупкой

Сравните частоту обновлений, доказательства совместимости, восстановление конфигурации и предполагаемое поведение при переключении вместе с пиковой скоростью передачи. Спросите, что происходит, когда устройство перезагружается с устаревшей конфигурацией. Спросите, публикует ли поставщик список совместимости для того самого партнёра, которого вы планируете использовать. Спросите, кто отвечает за изменение, когда обновление прошивки меняет предложение по умолчанию.

Аппаратная гарантия не отвечает ни на один из этих вопросов.

Затем проверьте пару, прежде чем брать обязательства по всему парку. Один туннель, реальные предложения, реальный режим маршрутизации и передача, похожая на рабочую нагрузку, скажут вам больше, чем любая таблица спецификаций.