Zakaj SSL VPN in VPN med lokacijami nista nasprotji
SSL VPN in VPN med lokacijami opisujeta različni osi: kdo se pridruži omrežju in kako se tunel zgradi. Poimenovati oboje skupaj je kategorijska napaka.
Prosita dva skrbnika, naj opišeta isti VPN, in eden bo morda odgovoril „SSL VPN“, drugi pa rekel „med lokacijami“, kot da bi bili to dve tekmujoči možnosti v meniju. To sta odgovora na različni vprašanji, in obravnavanje kot alternativi ustvarja primerjave, ki jih ni mogoče razrešiti. Ena oznaka pove, katere končne točke se povežejo; druga pove, kaj prenaša promet med njimi. Držite osi ločeni in večina razprave izgine.
Dve oznaki, dve ločeni vprašanji
Topologija odgovarja, kdo se s čim poveže. Zasnova oddaljenega dostopa poveže posamezne uporabnike ali naprave z prehodom, običajno z identiteto na uporabnika in naborom naslovov. Zasnova med lokacijami poveže dve omrežji prek prehodov, zato je zanimiva identiteta partnerski prehod in ne oseba za tipkovnico. To so različni operativni problemi, od načrtovanja naslovov do tega, kdo lahko ob 2 uri zjutraj prekliče dostop.
Mehanizem odgovarja, kako se tunel zgradi in overi. IPsec s IKEv2, izdelek na osnovi TLS, ki nosi IP v sebi, in portal aplikacij, obrnjen k brskalniku, so izbire mehanizma, in vsaka ima svoja pogajanja, šifrirne nize in načine odpovedi. Nobena ne implicira topologije, in topologija ne izbere mehanizma.
Postavite obe osi v eno tabelo in zmeda postane vidna, ker je mogoče zapolniti vsako celico mreže. Česar tabela ne zmore, je povedati, katero kombinacijo je dobavil vaš ponudnik, saj imena izdelkov stisnejo obe osi v eno marketinško frazo.
Od kod izvira kategorijska napaka
Ponudniki so leta prodajali „SSL VPN“ kot nasprotje „IPsec VPN“, zaradi česar je bila primerjava mehanizmov videti kot izbira topologije. Tudi izraz je slabo ostarel po lastnih pogojih, ker sedanje zasnove uporabljajo podprte različice TLS in ime SSL preživi predvsem kot kategorija izdelka.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Iz istega stiskanja izhajata dva povezana mita. Prvi je, da IPsec pomeni med lokacijami; IKEv2 je bil zasnovan tudi za odnose odjemalec–prehod, zato se posamezen prenosnik lahko pridruži z IPsec. Drugi je, da izdelek na osnovi TLS pomeni samo oddaljeni dostop; OpenVPN se redno uporablja za prenašanje prometa med dvema lokacijama, njegova uporaba TLS pa je osredotočena na izmenjavo nadzora in overjanja, ne na sejo brskalnika.
Koristen preizkus za vsak opis: če zamenjava ene besede spremeni tako končne točke kot protokol, stavek meša osi. „SSL VPN proti med lokacijami“ tega preizkusa ne prestane, ker prvi izraz poimenuje družino mehanizmov, drugi pa topologijo.
Opišite uvedbo tako, da jo je mogoče primerjati
Napišite štiri polja in jih izpolnite: končne točke, mehanizem, overjanje in površina dostopa. Povezava podružnice se lahko bere kot par prehodov IKEv2 med dvema imenovanima predponama s potrdilnim overjanjem in brez portala na uporabniški ravni. Storitev oddaljenega dostopa se lahko bere kot odjemalec na osnovi TLS, ki dodeljuje naslove na uporabnika, pri prijavi zahteva drugi dejavnik in objavi le notranjo cono DNS.
Ti stavki so primerljivi na način, kot imena izdelkov niso. Dve zasnovi oddaljenega dostopa je mogoče meriti glede na isti uporabniški potek dela in isto pot preklica, dve zasnovi med lokacijami pa glede na isti seznam predpon, prometno politiko in zahteve ob odpovedi. Oznake urejajo primerjavo; ne nadomeščajo je.
Terminologija ima tudi objavljeno oporo. Dokument IETF o terminologiji VPN ločuje več modelov storitve, vključno z oddaljenim dostopom in med lokacijami, od mehanizmov, s katerimi se gradijo, in to je natanko tista razlika, ki se nenehno izgublja.
Berite dogovorjeni protokol, ne imena izdelka
Oznaka na škatli ne določa, o čem se je delujoč tunel dogovoril. Vprašajte partnerja neposredno, na strani TLS, in preberite različico protokola in šifro, ki ju je ustvaril rokovanje, namesto različice v brošuri.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefZa prehod IPsec prihaja enakovredno opazovanje iz lastnega statusnega izhoda implementacije, ki poroča o uporabljenih predlogih IKE in ESP. Kakor koli, bistvo je isto: os mehanizma je treba brati iz žive seje, ker se odjemalec in prehod lahko dogovorita za nekaj starejšega, kot je pričakoval kateri koli skrbnik.
ipsec statusall | grep -E "IKE|ESP"Po tem ostanejo vprašanja, na katera nobena oznaka ne odgovori. Katere različice protokola so še sprejete, kako se preverja identiteta prehoda, kateri nabor algoritmov je dovoljen, kdo pooblasti določenega uporabnika za določen vir in kaj prekliče dostop, ko se naprava izgubi. Topološka shema in ime mehanizma sta začetek tega seznama, ne njegova zamenjava.
Obdržite torej obe oznaki, a ju uporabljajte za to, kar sta: kratek način, da poveste, katere končne točke se povežejo in kako se tunel zgradi. V trenutku, ko se ena uporabi za izključitev druge, je opis prenehal karkoli opisovati.