Концентратор или пролаз? Где се на вашем путу налази VPN терминатор

Два добављача могу исти уређај назвати концентратором и пролазом, а ниједна од тих речи неће вам рећи где се саобраћај дешифрује. Ознаке описују улоге при увођењу, а не протоколе, и улоге се преклапају у свим смеровима. За преглед дизајна важни су уређај који завршава тунел, контроле око њега и путања којом пролази дешифровани захтев. Одлучите према тим трима, и именица на листу са подацима престаје да буде аргумент.

Две ознаке, једна одлука

Концентратор обично означава централни систем који прима и управља многим везама истовремено, а реч носи наговештај размере. Пролаз је шири појам за крајњу тачку која повезује тунел са мрежама иза себе, и може да опише рутер, заштитни зид или управљану услугу. Ниједна реч не именује протокол и ниједна не обећава одређени скуп функција. Исти уређај могу два добављача да продају под оба имена, и зато се расправа о терминологији никада не решава.

Третирајте ознаку као наговештај намераване употребе и ништа више. Одлука припада функцијама које можете да проверите у конфигурацији, а не речима у брошури.

Пронађите уређај који заиста завршава тунел

Пратите везу клијента споља ка унутра. Нешто прихвата транспорт, нешто аутентификује партнера, нешто додељује клијенту адресу, нешто одобрава одредиште, а нешто обезбеђује повратну путању. Тих пет функција може да живи на једном уређају или на пет, а једино корисно питање је који уређај шта ради. Рутер узводно може да преноси спољне пакете без икаквог дешифровања, и то је управо случај у ком тополошка шема наведе рецензента да именује погрешан уређај.

Потврдите завршетак на самом кандидатуа не из цртежа. Сокет који слуша на очекиваном порту уз успостављен запис стања јачи је доказ од мрежне шеме, а одсуство обога још је јаче.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Одлучите према пет својстава, а не према имену производа

Пет својстава раздваја кандидате, и на свако се може одговорити из документације, а не из маркетинга. Које VPN улоге подржава ово издање, које изворе идентитета може да користи, који обим прослеђивања дозвољава, који капацитет подноси и како се понаша при отказу. Затражите тих пет у писаној форми и ознака постаје неважна за одлуку.

Капацитет је својство које ознака концентратора најјаче имплицира, и оно најчешће остаје неодређено. Ограничења истовремености, пропусност по тунелу и укупна пропусност три су различита броја, а уређај може бити дарежљив у једном и шкрт у другом. Висока доступност је својство пара, а не било ког уређаја, и припада питању опоравка. Ознака која наговештава размеру није спецификација размере.

Опоравак припада истом разговору. Питајте како администратор долази до уређаја када је сам тунел покварена компонента, јер је ванпојасна путања пројектна одлука, а не додатак.

Проверите доказе пре ознаке

Актуелну услугу треба оцењивати према подржаним улогама, политици идентитета, обиму прослеђивања, капацитету и понашању при опоравку, с одговорима специфичним за верзију коју бисте увели. Историјски преглед може да објасни зашто реч концентратор постоји, али не може да каже шта подржава актуелно издање.Преглед Cisco VPN-аје управо зато користан терминолошки контекст, а третирање као актуелни списак функција је начин на који преглед дизајна одлази на погрешну страну.

Затим проверите једну тврдњу од почетка до краја. Изаберите својство које највише значи, попут пропусности по тунелу или времена пребацивања, и тражите методу мерења, а не број. Брза локална провера онога што уређај заиста приказује разуман је почетак.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

На Linux-у прва линија броји безбедносне асоцијације, а тунел их обично има две, по једну за сваки смер, па преполовите број пре него што га упоредите с тврдњом о тунелу. На домаћину са strongSwan-ом друга линија директно именује тунеле. Бројање сокета то не замењује: IPsec NAT-T држи један заједнички сокет UDP 4500 за све тунеле, па бројање сокета на том порту даје нулу или један, колико год тунела постоји. Ниједна линија није мерење пропусности и ниједна не предвиђа понашање под оптерећењем. Оне вам дају јединицу о којој треба питати, а добављач који уме да опише методу има спецификацију тамо где онај који не уме има брошуру.

Запишите путању и ознаке престају да буду важне

Опишите архитектуру као списак функција с власницима: завршетак, аутентификација, додела адреса, ауторизација, повратно рутирање, евидентирање и опоравак. Тај опис надживљава преименовање производа, промену добављача и преузимање, и ниједно од тога неће ажурирати вашу шему.

Прегледајте га према стварној клијентској сесији једном квартално, јер функција може да се премести без да ико уреди цртеж. Ознаке ће наставити да се мењају, а списак власника ће наставити да буде оно што заиста објашњава мрежу.