Så väljer du VPN-gatewayer mellan platser som samarbetar

Två platsgatewayer från olika leverantörer bildar en tunnel om deras implementationer är överens om de parametrar som förhandlas. Identiska märken är inte ett krav, och matchande märken är inte heller någon garanti. Kompatibilitetsfrågan handlar om funktioner och utgåvor; kapacitetsfrågan handlar om arbete som enheten måste utföra i programvara. Behandla dem som två kontroller, just i den ordningen.

Arbeta dig nedåt i listan och stanna vid den första posten som inte har något svar.

Börja med protokollfunktionerna, inte med märket

För det protokoll du tänker köra, lista vad designen behöver: autentiseringsmetod, överenskomna förslag för kryptering och integritet, gränssnittet eller konstruktionen för skyddad trafik, routingläget och om någon sida sitter bakom NAT. Var och en av dem är en funktion som implementationen måste stödja, inte en kryssruta på en produktsida.

AWS krav på kundgateway är en användbar mall även när du inte ansluter till AWS, eftersom de formulerar avtalet som en uppsättning skyldigheter för protokoll och routing. En leverantörs exempelfil för en viss modell är ett hyggligt bevis på att någon har testat den kombinationen. En allmän etikett som hävdar IPsec-stöd bevisar varken versionen eller policymodellen. Läs utgivningsanteckningarna i stället för marknadssammanfattningen.

Kontrollera utgåvan, inte etiketten på databladet

IKEv2-interoperabilitet avgörs av de förhandlade parametrarna, så frågan är vilka förslag den nuvarande firmwaren erbjuder och accepterar. En enhet som stöder protokollet generellt kan ändå avvisa den specifika kombination som din andra ände insisterar på. Bekräfta versionssträngen och förslagslistan på båda sidor.

En anteckning om att en funktion kom i ett senare firmwaretåg är vanlig nog att förtjäna en egen punkt på checklistan.

Behandla kapacitet som en separat fråga

Kryptering kostar arbete, och hur mycket beror på implementationen lika mycket som på algoritmen. Vissa accelerationsvägar gäller bara för bestämda algoritmer eller bestämda vidarebefordringsvägar, så en enhet kan vara snabb i en konfiguration och långsam i en annan. Vanlig WAN-genomströmning är inte genomströmning för en krypterad tunnel. Dimensionera enheten efter den trafik du faktiskt kommer att skydda.

Paketstorleken spelar också roll, eftersom inkapsling och all extra overhead minskar den nyttolast som varje paket bär.

Fastställ routingpolicyn uttryckligen

Mellan platser betyder inte att bara utvald trafik får använda tunneln, och det betyder inte att allt måste. En design kan föra vissa privata prefix eller routa en standardväg genom gatewayen. Välj en och skriv ned den, eftersom båda ändar måste vara överens om vad som annonseras och vad som accepteras. En missanpassning här ger en tunnel som är uppe och ett nät som bara är halvt nåbart.

Dynamiskt routade designer lägger till ett krav till: stöd för routingprotokollet i båda ändar.

Vad du ska jämföra innan du köper

Jämför uppdateringstakt, interoperabilitetsbevis, återställning av konfiguration och avsett failoverbeteende vid sidan av högsta överföringshastighet. Fråga vad som händer när enheten startar om med en inaktuell konfiguration. Fråga om leverantören publicerar en interoperabilitetslista för exakt den peer du planerar att använda. Fråga vem som äger ändringen när en firmwareuppdatering ändrar ett standardförslag.

En hårdvarugaranti är inte ett svar på någon av dem.

Testa sedan paret innan du binder upp dig mot en flotta. En tunnel, de verkliga förslagen, det verkliga routingläget och en överföring som liknar arbetslasten säger dig mer än någon specifikationstabell.