Зашто SSL VPN и VPN од локације до локације нису супротности
SSL VPN и VPN од локације до локације описују различите осе: ко се прикључује мрежи и како се тунел гради. Назвати оба заједно је грешка категорије.
Замолите два администратора да опишу исти VPN и један може да одговори „SSL VPN“, а други да каже „од локације до локације“, као да су то супротстављене опције у менију. То су одговори на различита питања, а третирање као алтернативе ствара поређења која се не могу решити. Једна ознака каже које се крајње тачке спајају; друга каже шта носи саобраћај између њих. Држите осе одвојено и већина расправе нестаје.
Две ознаке, два одвојена питања
Топологија одговара ко се чему прикључује. Дизајн даљинског приступа прикључује појединачне кориснике или уређаје на портал, обично са идентитетом по кориснику и скупом адреса. Дизајн од локације до локације спаја две мреже кроз портале, па је занимљив идентитет портал партнера, а не особа за тастатуром. То су различити оперативни проблеми, од планирања адреса до тога ко може да опозове приступ у 2 сата ујутру.
Механизам одговара како се тунел гради и аутентификује. IPsec са IKEv2, производ заснован на TLS који носи IP у себи, и портал апликација окренут прегледачу су избори механизма, и сваки има своје преговоре, скупове шифара и режиме отказа. Ниједан не подразумева топологију, а топологија не бира механизам.
Ставите две осе у једну табелу и забуна постаје видљива, јер се свака ћелија мреже може попунити. Оно што табела не може је да вам каже коју је комбинацију испоручио ваш добављач, јер имена производа спајају обе осе у једну маркетиншку фразу.
Одакле долази грешка категорије
Добављачи су годинама продавали „SSL VPN“ као супротност „IPsec VPN“, због чега је поређење механизама изгледало као избор топологије. Фраза је лоше остарела и по сопственим условима, јер данашњи дизајни користе подржане верзије TLS, а име SSL опстаје углавном као категорија производа.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Из истог сажимања следе два повезана мита. Први је да IPsec значи од локације до локације; IKEv2 је пројектован и за односе клијент–портал, па се појединачни лаптоп може прикључити преко IPsec. Други је да производ заснован на TLS значи само даљински приступ; OpenVPN се редовно користи за пренос саобраћаја између две локације, а његова употреба TLS-а концентрисана је на размену контроле и аутентификације, а не на сесију прегледача.
Користан тест за сваки опис: ако замена једне речи мења и крајње тачке и протокол, реченица меша осе. „SSL VPN наспрам од локације до локације“ не пролази тај тест, јер први термин именује породицу механизама, а други топологију.
Опишите распоређивање тако да може да се упореди
Напишите четири поља и попуните их: крајње тачке, механизам, аутентификација и површина приступа. Веза са огранком може да се чита као пар портала IKEv2 између два именована префикса са сертификатном аутентификацијом и без портала на корисничком нивоу. Услуга даљинског приступа може да се чита као клијент заснован на TLS који додељује адресе по кориснику, захтева други фактор при пријави и објављује само интерну DNS зону.
Те реченице су упоредиве на начин на који имена производа нису. Два дизајна даљинског приступа могу да се мере према истом корисничком току рада и истој путањи опозива, а два дизајна између локација према истој листи префикса, политици саобраћаја и захтевима за отказ. Ознаке организују поређење; оне га не замењују.
Терминологија има и објављени ослонац. Документ IETF о VPN терминологији одваја неколико модела услуге, укључујући даљински приступ и од локације до локације, од механизама којима се граде, а то је управо разлика која се стално губи.
Читајте преговарани протокол, а не име производа
Ознака на кутији не утврђује шта је тунел који ради прихватио. Питајте партнера директно, на TLS страни, и прочитајте верзију протокола и шифру коју је произвело руковање, уместо верзије из брошуре.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefЗа портал IPsec еквивалентно запажање долази из сопственог статусног излаза имплементације, који извештава о коришћеним предлозима IKE и ESP. Како год, поента је иста: ос механизма мора да се чита из живе сесије, јер клијент и портал могу да преговарају до нечега старијег него што је иједан администратор очекивао.
ipsec statusall | grep -E "IKE|ESP"Након тога остају питања на која ниједна ознака не одговара. Које се верзије протокола још прихватају, како се валидира идентитет портала, који је скуп алгоритама дозвољен, ко ауторизује датог корисника за дати ресурс и шта опозива приступ када се уређај изгуби. Дијаграм топологије и име механизма су почетак тог списка, а не његова замена.
Зато задржите две ознаке, али их користите за оно што јесу: кратак начин да се каже које се крајње тачке спајају и како се тунел гради. У тренутку када се једна употреби да искључи другу, опис је престао да описује било шта.