Koncentrátor alebo brána? Kde na vašej ceste leží ukončenie VPN

Dvaja dodávatelia môžu ten istý stroj nazvať koncentrátorom aj bránou a ani jedno z tých slov vám nepovie, kde sa prevádzka dešifruje. Štítky opisujú role pri nasadení, nie protokoly, a role sa prekrývajú vo všetkých smeroch. Pre revíziu návrhu je dôležité zariadenie, ktoré ukončuje tunel, kontroly okolo neho a cesta, ktorou prechádza dešifrovaná požiadavka. Rozhodnite podľa tých troch a podstatné meno v dátovom liste prestane byť argumentom.

Dve označenia, jedno rozhodnutie

Koncentrátor zvyčajne znamená centrálny systém, ktorý prijíma a spravuje mnoho pripojení naraz, a slovo nesie náznak rozsahu. Brána je širší pojem pre koncový bod, ktorý pripája tunel k sieťam za ním, a môže označovať router, firewall alebo spravovanú službu. Ani jedno slovo nepomenúva protokol a ani jedno nesľubuje určitú sadu funkcií. To isté zariadenie môžu dvaja dodávatelia predávať pod oboma názvami, a preto sa spor o terminológiu nikdy nevyrieši.

Berte štítok ako nápovedu k zamýšľanému použitiu a nič viac. Rozhodnutie patrí funkciám, ktoré môžete overiť v konfigurácii, nie slovám v brožúre.

Nájdite zariadenie, ktoré skutočne ukončuje tunel

Sledujte klientske pripojenie zvonka dovnútra. Niečo prijíma transport, niečo overuje protistranu, niečo prideľuje klientovi adresu, niečo autorizuje cieľ a niečo poskytuje spätnú trasu. Týchto päť funkcií môže žiť na jednom zariadení alebo na piatich a jediná užitočná otázka je, ktoré zariadenie robí čo. Router vyššie v ceste môže prenášať vonkajšie pakety bez toho, aby ich kedy dešifroval, a to je presne prípad, keď topologická schéma privedie recenzenta k pomenovaniu nesprávneho stroja.

Potvrďte ukončenie na samotnom kandidátovia nie z výkresu. Počúvajúci socket na očakávanom porte spolu so záznamom nadviazaného stavu je silnejší dôkaz než sieťová schéma a neprítomnosť oboch je ešte silnejšia.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Rozhodujte podľa piatich vlastností, nie podľa názvu produktu

Päť vlastností odlišuje kandidátov a na každú sa dá odpovedať z dokumentácie, nie z marketingu. Ktoré role VPN táto verzia podporuje, ktoré zdroje identity môže použiť, aký rozsah preposielania dovoľuje, akú kapacitu udrží a ako sa správa pri zlyhaní. Vyžiadajte si tých päť písomne a štítok prestane byť pre rozhodnutie relevantný.

Kapacita je vlastnosť, ktorú štítok koncentrátora implikuje najsilnejšie, a zostáva najčastejšie neurčitá. Limity súbežnosti, priepustnosť na tunel a celková priepustnosť sú tri rôzne čísla a zariadenie môže byť štedré v jednom a skúpe v druhom. Vysoká dostupnosť je vlastnosť dvojice, nie ktoréhokoľvek stroja, a patrí k otázke obnovy. Štítok naznačujúci rozsah nie je špecifikáciou rozsahu.

Obnova patrí do toho istého rozhovoru. Pýtajte sa, ako sa správca dostane k zariadeniu, keď je chybnou súčasťou samotný tunel, pretože mimopásmová cesta je návrhové rozhodnutie, nie doplnok.

Preverte dôkazy pred štítkom

Súčasnú službu treba hodnotiť podľa podporovaných rolí, politiky identity, rozsahu preposielania, kapacity a správania pri obnove, pričom odpovede majú byť špecifické pre verziu, ktorú by ste nasadili. Historický prehľad môže vysvetliť, prečo slovo koncentrátor existuje, ale nemôže povedať, čo podporuje súčasná verzia.Prehľad Cisco VPNje práve preto užitočný terminologický kontext, a brať ho ako aktuálny zoznam funkcií je spôsob, akým sa revízia návrhu pokazí.

Potom overte jedno tvrdenie od začiatku do konca. Vyberte vlastnosť, na ktorej najviac záleží, napríklad priepustnosť na tunel alebo čas prepnutia, a žiadajte metódu merania, nie číslo. Rýchla miestna kontrola toho, čo zariadenie skutočne zobrazuje, je rozumný začiatok.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

V Linuxe prvý riadok počíta bezpečnostné asociácie a tunel ich zvyčajne má dve, jednu pre každý smer, takže počet pred porovnaním s tvrdením o tuneloch vydeľte dvoma. Na hostiteľovi so strongSwan druhý riadok pomenúva tunely priamo. Počet socketov to nenahrádza: IPsec NAT-T drží jeden spoločný socket UDP 4500 pre všetky tunely, takže počítanie socketov na tomto porte vráti nulu alebo jednotku, nech je tunelov akokoľvek. Ani jeden riadok nie je meraním priepustnosti a ani jeden nepredpovedá správanie pod záťažou. Dávajú vám jednotku, na ktorú sa treba pýtať, a dodávateľ, ktorý vie opísať metódu, má špecifikáciu tam, kde ten, kto to nevie, má brožúru.

Zapíšte cestu a štítky prestanú mať význam

Opíšte architektúru ako zoznam funkcií s vlastníkmi: ukončenie, autentifikácia, prideľovanie adries, autorizácia, spätné smerovanie, zaznamenávanie a obnova. Tento opis prežije premenovanie produktu, zmenu dodávateľa aj akvizíciu a nič z toho vašu schému neaktualizuje.

Raz za štvrťrok ho porovnajte so skutočnou klientskou reláciou, pretože funkcia sa môže presunúť bez toho, aby niekto upravil výkres. Štítky sa budú ďalej meniť a zoznam vlastníkov bude ďalej tým, čo sieť skutočne vysvetľuje.