Pse SSL VPN dhe VPN nga sajti në sajt nuk janë të kundërta
SSL VPN dhe VPN nga sajti në sajt përshkruajnë akse të ndryshme: kush i bashkohet rrjetit dhe si ndërtohet tuneli. T'i emërtosh të dyja bashkë është gabim kategorie.
Kërkojini dy administratorëve të përshkruajnë të njëjtin VPN dhe njëri mund të përgjigjet „SSL VPN“ ndërsa tjetri thotë „nga sajti në sajt“, sikur të ishin opsione rivale në një menu. Janë përgjigje për pyetje të ndryshme, dhe trajtimi i tyre si alternativa prodhon krahasime që nuk mund të zgjidhen. Një etiketë thotë cilat pika fundore bashkohen; tjetra thotë çfarë mbart trafikun mes tyre. Mbani akset të ndara dhe pjesa më e madhe e debatit zhduket.
Dy etiketa, dy pyetje të ndara
Topologjia përgjigjet kush i bashkohet çfarë. Një dizajn i aksesit në distancë lidh përdorues ose pajisje individuale me një portë, zakonisht me identitet për çdo përdorues dhe një grup adresash. Një dizajn nga sajti në sajt lidh dy rrjeta përmes portave, kështu që identiteti interesant është porta partnere dhe jo personi para tastierës. Këto janë probleme operacionale të ndryshme, nga planifikimi i adresave deri te kush mund të revokojë aksesin në orën 2 të mëngjesit.
Mekanizmi përgjigjet si ndërtohet dhe vërtetohet tuneli. IPsec me IKEv2, një produkt i bazuar në TLS që mbart IP brenda vetes, dhe një portal aplikacionesh i kthyer nga shfletuesi janë zgjedhje mekanizmi, dhe secila ka negociatat, grupet e shifrave dhe mënyrat e dështimit të veta. Asnjëra nuk nënkupton një topologji, dhe një topologji nuk zgjedh një mekanizëm.
Vendosni dy akset në një tabelë dhe konfuzioni bëhet i dukshëm, sepse çdo qelizë e rrjetit mund të plotësohet. Ajo që tabela nuk mund të bëjë është t'ju thotë se çfarë kombinimi dërgoi furnizuesi juaj, pasi emrat e produkteve i bashkojnë të dyja akset në një frazë marketingu.
Nga vjen gabimi i kategorisë
Furnizuesit shitën „SSL VPN“ për vite me radhë si të kundërtën e „IPsec VPN“, gjë që e bënte një krahasim mekanizmash të dukej si zgjedhje topologjie. Shprehja gjithashtu është plakur keq sipas kushteve të veta, pasi dizajnet aktuale përdorin versione TLS të mbështetura dhe emri SSL mbijeton kryesisht si kategori produkti.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Dy mite të lidhura rrjedhin nga i njëjti bashkim. I pari është se IPsec do të thotë nga sajti në sajt; IKEv2 u projektua edhe për marrëdhënie klient-portë, kështu që një laptop individual mund të bashkohet me IPsec. I dyti është se një produkt i bazuar në TLS do të thotë vetëm akses në distancë; OpenVPN përdoret rregullisht për të mbartur trafik mes dy sajteve, dhe përdorimi i tij i TLS është i përqendruar në shkëmbimin e kontrollit dhe vërtetimit dhe jo në një sesion shfletuesi.
Një test i dobishëm për çdo përshkrim: nëse zëvendësimi i një fjale ndryshon si pikat fundore ashtu edhe protokollin, fjalia i përzien akset. „SSL VPN kundrejt nga sajti në sajt“ nuk e kalon atë test, sepse termi i parë emërton një familje mekanizmash dhe i dyti një topologji.
Përshkruani një vendosje në mënyrë që të mund të krahasohet
Shkruani katër fusha dhe plotësoni ato: pikat fundore, mekanizmi, vërtetimi dhe sipërfaqja e aksesit. Një lidhje dege mund të lexohet si një çift portash IKEv2 midis dy prefiksave të emërtuar me vërtetim certifikate dhe pa portal në nivel përdoruesi. Një shërbim aksesi në distancë mund të lexohet si një klient i bazuar në TLS që cakton adresa për çdo përdorues, kërkon një faktor të dytë në hyrje dhe publikon vetëm një zonë DNS të brendshme.
Këto fjali janë të krahasueshme në një mënyrë që emrat e produkteve nuk janë. Dy dizajne aksesi në distancë mund të maten kundrejt të njëjtit rrjedhë pune të përdoruesit dhe të njëjtës rrugë revokimi, dhe dy dizajne mes sajteve kundrejt të njëjtës listë prefiksesh, politikës së trafikut dhe kërkesave të dështimit. Etiketat organizojnë krahasimin; nuk e zëvendësojnë atë.
Terminologjia ka gjithashtu një ankorë të botuar. Dokumenti i IETF për terminologjinë e VPN ndan disa modele shërbimi, përfshirë aksesin në distancë dhe nga sajti në sajt, nga mekanizmat me të cilët ndërtohen, dhe pikërisht ky është dallimi që humbet vazhdimisht.
Lexoni protokollin e negociuar, jo emrin e produktit
Etiketa në kuti nuk përcakton se për çfarë është dakord një tunel në punë. Pyetni partnerin drejtpërdrejt, në anën TLS, dhe lexoni versionin e protokollit dhe shifrën që prodhoi shtrëngimi i duarve në vend të versionit në brochurë.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefPër një portë IPsec vëzhgimi ekuivalent vjen nga dalja e statusit të vetë implementimit, e cila raporton propozimet IKE dhe ESP në përdorim. Sido që të jetë, pika është e njëjtë: aksi i mekanizmit duhet lexuar nga sesioni i gjallë, sepse një klient dhe një portë mund të negociojnë poshtë në diçka më të vjetër sesa priste cilido administrator.
ipsec statusall | grep -E "IKE|ESP"Pas kësaj, pyetjet që mbeten janë ato të cilave asnjë etiketë nuk përgjigjet. Cilat versione protokolli pranohen ende, si vërtetohet identiteti i portës, cili grup algoritmesh lejohet, kush autorizon një përdorues të caktuar për një burim të caktuar dhe çfarë revokon aksesin kur një pajisje humbet. Një diagram topologjie dhe një emër mekanizmi janë fillimi i asaj liste, jo zëvendësimi i saj.
Prandaj mbani dy etiketat, por përdorini për atë që janë: një mënyrë e shkurtër për të thënë cilat pika fundore bashkohen dhe si ndërtohet tuneli. Në momentin që njëra përdoret për të përjashtuar tjetrën, përshkrimi ka pushuar së përshkruari çdo gjë.