Prečo SSL VPN a VPN medzi lokalitami nie sú protiklady
SSL VPN a VPN medzi lokalitami opisujú rôzne osi: kto sa pripája k sieti a ako sa tunel buduje. Nazvať oboje naraz je chyba kategórie.
Požiadajte dvoch administrátorov, aby opísali tú istú VPN, a jeden môže odpovedať „SSL VPN“, zatiaľ čo druhý povie „medzi lokalitami“, akoby išlo o konkurenčné možnosti v ponuke. Sú to odpovede na rôzne otázky a ich chápanie ako alternatív vytvára porovnania, ktoré nemožno vyriešiť. Jedna etiketa hovorí, ktoré koncové body sa spájajú; druhá hovorí, čo nesie prevádzku medzi nimi. Držte osi oddelene a väčšina hádky zmizne.
Dve etikety, dve oddelené otázky
Topológia odpovedá, kto sa k čomu pripája. Návrh vzdialeného prístupu pripája jednotlivých používateľov alebo zariadenia k bráne, zvyčajne s identitou na používateľa a fondom adries. Návrh medzi lokalitami spája dve siete cez brány, takže zaujímavou identitou je partnerská brána, nie človek pri klávesnici. To sú rôzne prevádzkové problémy, od plánovania adries po to, kto môže v 2 hodiny ráno odobrať prístup.
Mechanizmus odpovedá, ako sa tunel buduje a autentizuje. IPsec s IKEv2, produkt založený na TLS, ktorý nesie IP v sebe, a portál aplikácií obrátený k prehliadaču sú voľby mechanizmu a každá má svoje vyjednávanie, šifrové sady a režimy zlyhania. Žiadna z nich nepredpokladá topológiu a topológia nevyberá mechanizmus.
Dajte obe osi do jednej tabuľky a zmätok bude viditeľný, pretože každú bunku mriežky možno vyplniť. Čo tabuľka nedokáže, je povedať vám, ktorú kombináciu dodal váš dodávateľ, keďže názvy produktov zlievajú obe osi do jednej marketingovej frázy.
Odkiaľ pochádza chyba kategórie
Dodávatelia roky predávali „SSL VPN“ ako protiklad „IPsec VPN“, čo robilo porovnanie mechanizmov podobné voľbe topológie. Fráza tiež zle zostarla aj podľa vlastných podmienok, pretože dnešné návrhy používajú podporované verzie TLS a meno SSL prežíva hlavne ako kategória produktu.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Z toho istého zlievania vyplývajú dva súvisiace mýty. Prvý je, že IPsec znamená medzi lokalitami; IKEv2 bol navrhnutý aj pre vzťahy klient–brána, takže sa jednotlivý notebook môže pripojiť cez IPsec. Druhý je, že produkt založený na TLS znamená len vzdialený prístup; OpenVPN sa bežne používa na prenos prevádzky medzi dvoma lokalitami a jeho využitie TLS sa sústreďuje na výmenu riadenia a autentizácie, nie na reláciu prehliadača.
Užitočný test pre každý opis: ak výmena jedného slova zmení koncové body aj protokol, veta mieša osi. „SSL VPN verzus medzi lokalitami“ týmto testom neprejde, pretože prvý termín pomenúva rodinu mechanizmov a druhý topológiu.
Opíšte nasadenie tak, aby sa dalo porovnávať
Napíšte štyri polia a vyplňte ich: koncové body, mechanizmus, autentizácia a povrch prístupu. Prepojenie pobočky môže znieť ako pár brán IKEv2 medzi dvoma pomenovanými prefixmi s autentizáciou certifikátom a bez portálu na úrovni používateľa. Služba vzdialeného prístupu môže znieť ako klient založený na TLS, ktorý prideľuje adresy na používateľa, vyžaduje pri prihlásení druhý faktor a zverejňuje iba internú zónu DNS.
Tieto vety sú porovnateľné spôsobom, akým názvy produktov nie sú. Dva návrhy vzdialeného prístupu možno merať proti rovnakému používateľskému pracovnému postupu a rovnakej ceste odvolania a dva medzilokalitné návrhy proti rovnakému zoznamu prefixov, politike prevádzky a požiadavkám na zlyhanie. Etikety porovnanie organizujú; nenahrádzajú ho.
Terminológia má aj publikovanú oporu. Dokument IETF o terminológii VPN oddeľuje niekoľko modelov služby, vrátane vzdialeného prístupu a medzi lokalitami, od mechanizmov, ktorými sa budujú, a to je presne ten rozdiel, ktorý sa stále stráca.
Čítajte vyjednaný protokol, nie názov produktu
Etiketa na škatuli neurčuje, na čom sa bežiaci tunel dohodol. Opýtajte sa partnera priamo, na strane TLS, a prečítajte si verziu protokolu a šifru, ktoré vytvoril handshake, namiesto verzie z brožúry.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefPri bráne IPsec prichádza ekvivalentné pozorovanie z vlastného stavového výstupu implementácie, ktorý hlási používané návrhy IKE a ESP. Tak či onak, pointa je rovnaká: os mechanizmu treba čítať zo živej relácie, pretože klient a brána môžu vyjednať niečo staršie, než obaja administrátori očakávali.
ipsec statusall | grep -E "IKE|ESP"Potom zostávajú otázky, na ktoré žiadna etiketa neodpovedá. Ktoré verzie protokolu sa ešte prijímajú, ako sa overuje identita brány, ktorá sada algoritmov je povolená, kto autorizuje daného používateľa pre daný zdroj a čo odoberie prístup, keď sa zariadenie stratí. Topologická schéma a názov mechanizmu sú začiatok tohto zoznamu, nie jeho náhrada.
Zachovajte teda obe etikety, ale používajte ich na to, čím sú: krátky spôsob, ako povedať, ktoré koncové body sa spájajú a ako sa tunel buduje. V okamihu, keď sa jedna použije na vylúčenie druhej, opis prestal čokoľvek opisovať.