Koncentrator eller gateway? Var VPN-termineringen ligger på din väg

Två leverantörer kan kalla samma apparat för koncentrator och gateway, och inget av orden berättar var trafiken dekrypteras. Etiketterna beskriver driftsättningsroller snarare än protokoll, och rollerna överlappar i alla riktningar. Det som spelar roll i en designgranskning är enheten som terminerar tunneln, kontrollerna runt den och den väg en dekrypterad begäran tar. Bestäm utifrån de tre, och substantivet på databladet slutar vara ett argument.

Två etiketter, ett beslut

En koncentrator betyder vanligtvis det centrala systemet som tar emot och hanterar många anslutningar samtidigt, och ordet antyder skala. En gateway är den bredare termen för en ändpunkt som kopplar en tunnel till näten bakom den, och den kan beskriva en router, en brandvägg eller en hanterad tjänst. Inget av orden namnger ett protokoll, och inget av dem lovar en viss funktionsuppsättning. Samma enhet kan säljas under båda namnen av två leverantörer, och därför avgörs aldrig terminologidebatten.

Behandla etiketten som en ledtråd om avsedd användning och inget mer. Beslutet tillhör de funktioner du kan verifiera i konfigurationen, inte orden i broschyren.

Hitta enheten som faktiskt terminerar

Följ en klientanslutning utifrån och in. Något tar emot transporten, något autentiserar motparten, något tilldelar klienten en adress, något auktoriserar en destination, och något levererar en returväg. Dessa fem funktioner kan ligga på en enhet eller på fem, och den enda användbara frågan är vilken enhet som gör vad. En router längre upp kan bära de yttre paketen utan att någonsin dekryptera dem, och det är just det fall där ett topologidiagram får en granskare att namnge fel apparat.

Bekräfta termineringen på kandidaten självi stället för från ritningen. En lyssnande socket på den förväntade porten plus en etablerad tillståndspost är starkare bevis än ett nätverksdiagram, och frånvaron av båda är ännu starkare.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Bestäm utifrån fem egenskaper, inte produktnamnet

Fem egenskaper skiljer kandidaterna åt, och var och en kan besvaras från dokumentation snarare än marknadsföring. Vilka VPN-roller stöder denna version, vilka identitetskällor kan den använda, vilket vidarebefordransomfång tillåter den, hur mycket kapacitet håller den, och hur beter den sig vid fel. Be om de fem skriftligt, och etiketten blir betydelselös för beslutet.

Kapacitet är den egenskap som koncentratoretiketten antyder starkast, och det är den som oftast lämnas vag. Gränser för samtidighet, genomströmning per tunnel och total genomströmning är tre olika tal, och en enhet kan vara generös i det ena och snål i det andra. Hög tillgänglighet är en egenskap hos paret och inte hos någon av apparaterna, och den hör till återställningsfrågan. En etikett som antyder skala är inte en specifikation av skala.

Återställning hör till samma samtal. Fråga hur en administratör når enheten när tunneln själv är den trasiga komponenten, eftersom en väg utanför bandet är ett designbeslut och inte en tillbehör.

Kontrollera bevisen före etiketten

En aktuell tjänst bör bedömas efter stödda roller, identitetspolicy, vidarebefordransomfång, kapacitet och återställningsbeteende, med svar som är specifika för den version du skulle driftsätta. En historisk översikt kan förklara varför ordet koncentrator finns, men den kan inte säga vad en aktuell version stöder.Cisco VPN-översiktär just därför en användbar terminologisk kontext, och att behandla den som en aktuell funktionslista är hur en designgranskning går fel.

Verifiera sedan ett påstående från början till slut. Välj den egenskap som betyder mest, som genomströmning per tunnel eller failover-tid, och be om mätmetoden i stället för talet. En snabb lokal kontroll av vad enheten faktiskt visar är en rimlig början.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

På Linux räknar den första raden säkerhetsassociationer, och en tunnel har normalt två av dem, en per riktning, så halvera antalet innan du jämför det med ett tunnelpåstående. På en strongSwan-värd namnger den andra raden tunnlarna direkt. En socketräkning ersätter inte det: IPsec NAT-T håller en enda delad UDP 4500-socket för varje tunnel, så räkning av sockets på den porten ger noll eller ett, oavsett hur många tunnlar som finns. Ingen av raderna är en genomströmningsmätning, och ingen av dem förutsäger beteende under last. Det de ger dig är den enhet du ska fråga om, och en leverantör som kan beskriva metoden har en specifikation där en som inte kan har en broschyr.

Skriv ner vägen och etiketterna slutar betyda något

Beskriv arkitekturen som en lista över funktioner med ägare: terminering, autentisering, adresstilldelning, auktorisering, returrouting, loggning och återställning. Den beskrivningen överlever ett produktnamnbyte, ett leverantörsbyte och ett förvärv, och ingen av dem uppdaterar ditt diagram.

Granska den mot en riktig klientsession en gång i kvartalet, eftersom en funktion kan flytta sig utan att någon redigerar ritningen. Etiketterna kommer att fortsätta ändras, och ägarlistan kommer att fortsätta vara det som faktiskt förklarar nätet.