Koncentrator ali prehod? Kje na vaši poti leži zaključek VPN

Dva dobavitelja lahko isto napravo imenujeta koncentrator in prehod, in nobena od teh besed vam ne bo povedala, kje se promet dešifrira. Oznake opisujejo vloge pri uvajanju, ne protokolov, in vloge se prekrivajo v vse smeri. Pri pregledu zasnove štejejo naprava, ki zaključi tunel, kontrole okoli nje in pot, ki jo opravi dešifrirana zahteva. Odločite se na podlagi teh treh, in samostalnik na podatkovnem listu ne bo več argument.

Dve oznaki, ena odločitev

Koncentrator običajno pomeni osrednji sistem, ki sprejema in upravlja veliko povezav hkrati, in beseda nosi namig na obseg. Prehod je širši izraz za končno točko, ki tunel poveže z omrežji za njim, in lahko opisuje usmerjevalnik, požarni zid ali upravljano storitev. Nobena beseda ne imenuje protokola in nobena ne obljublja določenega nabora funkcij. Isto napravo lahko dva dobavitelja prodajata pod obema imenoma, zato se razprava o izrazoslovju nikoli ne razreši.

Oznako obravnavajte kot namig o predvideni uporabi in nič več. Odločitev pripada funkcijam, ki jih lahko preverite v konfiguraciji, ne besedam v brošuri.

Poiščite napravo, ki resnično zaključi tunel

Sledite odjemalski povezavi od zunaj navznoter. Nekaj sprejme prenos, nekaj overi partnerja, nekaj dodeli odjemalcu naslov, nekaj odobri cilj in nekaj zagotovi povratno pot. Teh pet funkcij lahko živi na eni napravi ali na petih, in edino uporabno vprašanje je, katera naprava kaj počne. Usmerjevalnik višje lahko prenaša zunanje pakete, ne da bi jih kdaj dešifriral, in prav takrat topološka shema pregledovalca pripelje do tega, da imenuje napačno napravo.

Zaključek potrdite na samem kandidatuin ne iz risbe. Poslušajoči vtič na pričakovanih vratih skupaj z vzpostavljenim vnosom stanja je močnejši dokaz kot omrežna shema, odsotnost obojega pa je še močnejša.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Odločite se po petih lastnostih, ne po imenu izdelka

Pet lastnosti loči kandidate, in na vsako je mogoče odgovoriti iz dokumentacije, ne iz trženja. Katere vloge VPN podpira ta izdaja, katere vire identitete lahko uporablja, kakšen obseg posredovanja dovoljuje, kakšno zmogljivost prenese in kako se obnaša ob okvari. Zahtevajte teh pet pisno in oznaka postane za odločitev nepomembna.

Zmogljivost je lastnost, na katero oznaka koncentratorja najmočneje namiguje, in ta najpogosteje ostane nedorečena. Meje sočasnosti, prepustnost na tunel in skupna prepustnost so tri različna števila, in naprava je lahko radodarna pri enem in skopa pri drugem. Visoka razpoložljivost je lastnost para, ne katere od naprav, in spada k vprašanju obnovitve. Oznaka, ki namiguje na obseg, ni specifikacija obsega.

Obnovitev spada v isti pogovor. Vprašajte, kako skrbnik doseže napravo, ko je pokvarjeni sestavni del prav tunel, ker je zunajpasovna pot načrtovalska odločitev in ne dodatek.

Preverite dokaze pred oznako

Trenutno storitev je treba ocenjevati po podprtih vlogah, politiki identitete, obsegu posredovanja, zmogljivosti in obnašanju pri obnovitvi, pri čemer morajo odgovori veljati za različico, ki bi jo uvedli. Zgodovinski pregled lahko pojasni, zakaj beseda koncentrator obstaja, ne more pa povedati, kaj podpira trenutna izdaja.Pregled Cisco VPNje prav zato koristen izrazoslovni kontekst, in obravnavanje tega kot trenutnega seznama funkcij je način, kako pregled zasnove zaide.

Nato preverite eno trditev od začetka do konca. Izberite lastnost, ki najbolj šteje, na primer prepustnost na tunel ali čas preklopa, in zahtevajte metodo merjenja, ne števila. Hiter lokalni pregled tega, kar naprava v resnici prikazuje, je razumen začetek.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

V Linuxu prva vrstica šteje varnostne povezave, tunel pa jih ima običajno dve, eno na smer, zato število prepolovite, preden ga primerjate s trditvijo o tunelih. Na gostitelju strongSwan druga vrstica tunele imenuje neposredno. Štetje vtičev tega ne nadomesti: IPsec NAT-T ohranja en skupni vtič UDP 4500 za vse tunele, zato štetje vtičev na teh vratih vrne nič ali ena, ne glede na število tunelov. Nobena vrstica ni merjenje prepustnosti in nobena ne napove obnašanja pod obremenitvijo. Dajeta enoto, po kateri je treba vprašati, dobavitelj, ki zna opisati metodo, pa ima specifikacijo tam, kjer je tisti, ki je ne zna, sestavil brošuro.

Zapišite pot in oznake ne bodo več pomembne

Opišite arhitekturo kot seznam funkcij z lastniki: zaključek, overjanje, dodeljevanje naslovov, odobritev, povratno usmerjanje, beleženje in obnovitev. Ta opis preživi preimenovanje izdelka, zamenjavo dobavitelja in prevzem, in nič od tega ne bo posodobilo vaše sheme.

Enkrat na četrtletje ga primerjajte z resnično odjemalsko sejo, ker se funkcija lahko premakne, ne da bi kdo uredil risbo. Oznake se bodo še spreminjale, seznam lastnikov pa bo še naprej tisto, kar resnično pojasnjuje omrežje.