Koncentrator apo portë? Ku ndodhet përfundimi i VPN në rrugën tuaj

Dy furnitorë mund ta quajnë të njëjtin pajisje koncentrator dhe portë, dhe asnjë nga dy fjalët nuk do t'ju thotë ku deshifrohet trafiku. Etiketat përshkruajnë role vendosjeje dhe jo protokolle, dhe rolet mbivendosen në çdo drejtim. Në një rishikim të projektimit ka rëndësi pajisja që përfundon tunelin, kontrollet rreth saj dhe rruga që ndjek një kërkesë e deshifruar. Vendosni nga këto tre, dhe emri në fletën e të dhënave nuk është më argument.

Dy etiketa, një vendim

Koncentratori zakonisht nënkupton sistemin qendror që pranon dhe administron shumë lidhje njëherësh, dhe fjala mbart një sugjerim shkalle. Porta është termi më i gjerë për një pikë fundore që lidh një tunel me rrjetet prapa tij, dhe mund të përshkruajë një ruter, një mur zjarri ose një shërbim të administruar. Asnjë nga fjalët nuk emërton një protokoll dhe asnjë nuk premton një grup të caktuar funksionesh. E njëjta pajisje mund të shitet me të dy emrat nga dy furnitorë, dhe për këtë arsye debati terminologjik nuk zgjidhet kurrë.

Trajtojeni etiketën si një aluzion për përdorimin e synuar dhe asgjë më shumë. Vendimi i takon funksioneve që mund të verifikoni në konfigurim, jo fjalëve në broshurë.

Gjeni pajisjen që me të vërtetë përfundon tunelin

Ndiqni një lidhje klienti nga jashtë brenda. Diçka pranon transportin, diçka vërteton palën, diçka i jep klientit një adresë, diçka autorizon një destinacion dhe diçka siguron një rrugë kthimi. Këto pesë funksione mund të jetojnë në një pajisje ose në pesë, dhe pyetja e vetme e dobishme është cila pajisje bën çfarë. Një ruter më lart mund t'i mbajë paketat e jashtme pa i deshifruar kurrë, dhe pikërisht ky është rasti kur një diagram topologjie e shtyn rishikuesin të emërojë pajisjen e gabuar.

Konfirmoni përfundimin në vetë kandidatindhe jo nga vizatimi. Një socket që dëgjon në portën e pritur së bashku me një zë të vendosur gjendjeje është provë më e fortë se një diagram rrjeti, dhe mungesa e të dyjave është edhe më e fortë.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Vendosni sipas pesë vetive, jo sipas emrit të produktit

Pesë veti i ndajnë kandidatët, dhe secila mund të dokumentohet e jo vetëm të reklamohet. Cilat role VPN mbështet ky version, cilat burime identiteti mund të përdorë, çfarë shtrirjeje përcjelljeje lejon, sa kapacitet mban dhe si sillet në dështim. Kërkoni këto pesë me shkrim dhe etiketa bëhet e parëndësishme për vendimin.

Kapaciteti është vetia që etiketa e koncentratorit sugjeron më fort, dhe është ajo që lihet më shpesh e paqartë. Kufijtë e njëkohshmërisë, qarkullimi për tunel dhe qarkullimi total janë tre numra të ndryshëm, dhe pajisja mund të jetë bujare në njërin dhe dorështrënguar në tjetrin. Disponueshmëria e lartë është veti e çiftit dhe jo e ndonjërës prej pajisjeve, dhe i takon pyetjes së rikuperimit. Një etiketë që sugjeron shkallë nuk është specifikim shkalle.

Rikuperimi i takon të njëjtit bisedë. Pyetni si arrin administratori në pajisje kur vetë tuneli është komponenti i prishur, sepse një rrugë jashtë brezit është vendim projektimi dhe jo aksesor.

Kontrolloni provat përpara etiketës

Një shërbim aktual duhet të vlerësohet sipas roleve të mbështetura, politikës së identitetit, shtrirjes së përcjelljes, kapacitetit dhe sjelljes në rikuperim, me përgjigje specifike për versionin që do të vendosnit. Një përmbledhje historike mund të shpjegojë pse ekziston fjala koncentrator, por nuk mund t'ju thotë çfarë mbështet një version aktual.Përmbledhje e Cisco VPNështë pikërisht për këtë arsye një kontekst terminologjik i dobishëm, dhe trajtimi i saj si listë aktuale funksionesh është mënyra se si një rishikim projektimi shkon keq.

Pastaj verifikoni një pohim nga fillimi në fund. Zgjidhni vetinë që ka më shumë rëndësi, si qarkullimi për tunel ose koha e kalimit, dhe kërkoni metodën e matjes dhe jo numrin. Një kontroll i shpejtë lokal i asaj që pajisja në të vërtetë shfaq është një fillim i arsyeshëm.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Në Linux rreshti i parë numëron shoqatat e sigurisë, dhe një tunel zakonisht ka dy, një për secilin drejtim, prandaj përgjysmoni numrin përpara se ta krahasoni me një pohim tuneli. Në një host strongSwan rreshti i dytë i emërton tunelët drejtpërdrejt. Numërimi i socket-ve nuk e zëvendëson këtë: IPsec NAT-T mban një socket të vetëm UDP 4500 të ndarë nga çdo tunel, prandaj numërimi i socket-ve në atë port jep zero ose një, sado tunelë të ekzistojnë. Asnjë rresht nuk është matje e qarkullimit dhe asnjë nuk parashikon sjelljen nën ngarkesë. Ata ju japin njësinë për të cilën duhet të pyesni, dhe një furnitor që di ta përshkruajë metodën ka specifikim aty ku ai që nuk di ka broshurë.

Shkruani rrugën dhe etiketat nuk kanë më rëndësi

Përshkruani arkitekturën si një listë funksionesh me pronarë: përfundim, vërtetim, caktim adresash, autorizim, rrugëtim kthimi, regjistrim dhe rikuperim. Ky përshkrim i mbijeton një riemërtimi produkti, një ndryshimi furnitori dhe një blerjeje, dhe asnjë prej tyre nuk do të përditësojë diagramin tuaj.

Rishikojeni kundrejt një sesioni real klienti një herë në tremujor, sepse një funksion mund të zhvendoset pa redaktuar askush vizatimin. Etiketat do të vazhdojnë të ndryshojnë, dhe lista e pronarëve do të vazhdojë të jetë ajo që shpjegon vërtet rrjetin.