Koncentrator ili gateway? Gdje se na vašem putu nalazi VPN terminacija

Dva dobavljača mogu isti uređaj nazvati koncentratorom i gatewayem, a nijedna od tih riječi neće vam reći gdje se promet dešifrira. Oznake opisuju uloge pri uvođenju, a ne protokole, i uloge se preklapaju u svim smjerovima. Za pregled dizajna važni su uređaj koji zaključuje tunel, kontrole oko njega i putanja kojom prolazi dešifrirani zahtjev. Odlučite prema tim trima, i imenica na podatkovnom listu prestaje biti argument.

Dvije oznake, jedna odluka

Koncentrator obično označava središnji sustav koji prima i upravlja mnogim vezama istodobno, a riječ nosi nagovještaj mjerila. Gateway je širi pojam za krajnju točku koja spaja tunel s mrežama iza sebe, i može opisivati usmjerivač, vatrozid ili upravljani servis. Nijedna riječ ne imenuje protokol i nijedna ne obećava određeni skup funkcija. Isti uređaj mogu dva dobavljača prodavati pod oba imena, i zato se rasprava o terminologiji nikada ne razrješava.

Tretirajte oznaku kao nagovještaj namjeravane upotrebe i ništa više. Odluka pripada funkcijama koje možete provjeriti u konfiguraciji, a ne riječima u brošuri.

Pronađite uređaj koji doista zaključuje

Pratite vezu klijenta izvana prema unutra. Nešto prihvaća prijevoz, nešto autentificira partnera, nešto dodjeljuje klijentu adresu, nešto odobrava odredište, a nešto osigurava povratnu rutu. Tih pet funkcija može živjeti na jednom uređaju ili na pet, a jedino korisno pitanje je koji uređaj što radi. Usmjerivač uzvodno može prenositi vanjske pakete bez ikakva dešifriranja, i to je upravo slučaj u kojem topološka shema navede recenzenta da imenuje pogrešan uređaj.

Potvrdite završetak na samom kandidatua ne iz crteža. Socket koji sluša na očekivanom portu uz uspostavljen zapis stanja jači je dokaz od mrežne sheme, a odsutnost obojega još je jača.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Odlučite prema pet svojstava, a ne prema imenu proizvoda

Pet svojstava razdvaja kandidate, i na svako se može odgovoriti iz dokumentacije, a ne iz marketinga. Koje VPN uloge podržava ovo izdanje, koje izvore identiteta može koristiti, koji doseg prosljeđivanja dopušta, koliki kapacitet podnosi i kako se ponaša pri otkazu. Zatražite tih pet u pisanom obliku i oznaka postaje nevažna za odluku.

Kapacitet je svojstvo koje oznaka koncentratora najjače implicira, i ono najčešće ostaje neodređeno. Ograničenja istodobnosti, propusnost po tunelu i ukupna propusnost tri su različita broja, a uređaj može biti darežljiv u jednom i škrt u drugom. Visoka dostupnost svojstvo je para, a ne bilo kojeg uređaja, i pripada pitanju oporavka. Oznaka koja nagovještava mjerilo nije specifikacija mjerila.

Oporavak pripada istom razgovoru. Pitajte kako administrator dolazi do uređaja kada je sam tunel pokvarena komponenta, jer je izvanpojasna putanja projektna odluka, a ne dodatak.

Provjerite dokaze prije oznake

Aktualni servis treba ocjenjivati prema podržanim ulogama, politici identiteta, dosegu prosljeđivanja, kapacitetu i ponašanju pri oporavku, s odgovorima specifičnima za verziju koju biste uveli. Povijesni pregled može objasniti zašto riječ koncentrator postoji, ali ne može reći što podržava aktualno izdanje.Pregled Cisco VPN-aje upravo zato koristan terminološki kontekst, a tretirati ga kao aktualni popis funkcija jest način na koji pregled dizajna odlazi na pogrešnu stranu.

Zatim provjerite jednu tvrdnju od početka do kraja. Odaberite svojstvo koje najviše znači, poput propusnosti po tunelu ili vremena prebacivanja, i tražite metodu mjerenja, a ne broj. Brza lokalna provjera onoga što uređaj doista izlaže razuman je početak.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Na Linuxu prva linija broji sigurnosne asocijacije, a tunel ih obično ima dvije, po jednu za svaki smjer, pa prepolovite broj prije nego što ga usporedite s tvrdnjom o tunelu. Na hostu sa strongSwanom druga linija izravno imenuje tunelove. Brojanje socketa nije zamjena: IPsec NAT-T drži jedan zajednički socket UDP 4500 za sve tunelove, pa brojanje socketa na tom portu daje nulu ili jedan, koliko god tunelova postojalo. Nijedna linija nije mjerenje propusnosti i nijedna ne predviđa ponašanje pod opterećenjem. One vam daju jedinicu o kojoj treba pitati, a dobavljač koji može opisati metodu ima specifikaciju tamo gdje onaj koji ne može ima brošuru.

Zapišite putanju i oznake prestaju biti važne

Opišite arhitekturu kao popis funkcija s vlasnicima: zaključivanje, autentifikacija, dodjela adresa, autorizacija, povratno usmjeravanje, evidentiranje i oporavak. Taj opis nadživljava preimenovanje proizvoda, promjenu dobavljača i akviziciju, a nijedno od toga neće ažurirati vašu shemu.

Pregledajte ga prema stvarnoj klijentskoj sesiji jednom kvartalno, jer se funkcija može premjestiti bez toga da itko uredi crtež. Oznake će se nastaviti mijenjati, a popis vlasnika nastavit će biti ono što mrežu doista objašnjava.