Kwa nini SSL VPN na VPN ya tovuti-hadi-tovuti si kinyume
SSL VPN na VPN ya tovuti-hadi-tovuti hueleza mihimili tofauti: nani anajiunga na mtandao na jinsi handaki linavyojengwa. Kuitaja zote kwa pamoja ni kosa la kategoria.
Waombe wasimamizi wawili waeleze VPN moja na mmoja anaweza kujibu „SSL VPN“ huku mwingine akisema „tovuti-hadi-tovuti“, kana kwamba hizo ni chaguo pinzani kwenye menyu. Ni majibu ya maswali tofauti, na kuzichukulia kama njia mbadala huzalisha ulinganisho ambao hauwezi kutatuliwa. Lebo moja inasema ni mwisho upi unaounganishwa; nyingine inasema ni nini kinabeba trafiki kati yao. Tenganisha mihimili na sehemu kubwa ya mjadala itatoweka.
Lebo mbili, maswali mawili tofauti
Topolojia inajibu nani anajiunga na nini. Muundo wa ufikiaji wa mbali huunganisha watumiaji au vifaa binafsi na lango, kwa kawaida kwa utambulisho wa kila mtumiaji na dimbwi la anwani. Muundo wa tovuti-hadi-tovuti huunganisha mitandao miwili kupitia malango, kwa hivyo utambulisho unaovutia ni lango mwenza na si mtu aliye mbele ya kibodi. Hizi ni masalah tofauti za uendeshaji, kuanzia upangaji wa anwani hadi nani anaweza kufuta ufikiaji saa 2 usiku.
Utaratibu unajibu jinsi handaki linavyojengwa na kuthibitishwa. IPsec pamoja na IKEv2, bidhaa inayotegemea TLS inayobeba IP ndani yake, na tovuti ya programu inayoelekea kivinjari ni chaguo za utaratibu, na kila moja ina mazungumzo yake, seti za siri na mbinu zake za kushindwa. Hakuna hata moja inayodokeza topolojia, na topolojia haichagui utaratibu.
Weka mihimili miwili kwenye jedwali moja na mkanganyiko utaonekana, kwa sababu kila seli ya gridi inaweza kujazwa. Jedwali haliwezi kukuambia ni mchanganyiko upi muuzaji wako alisambaza, kwa sababu majina ya bidhaa hukusanya mihimili miwili katika kifungu kimoja cha masoko.
Kosa la kategoria linatoka wapi
Wauzaji waliuza „SSL VPN“ kwa miaka kama kinyume cha „IPsec VPN“, jambo ambalo lilifanya ulinganisho wa utaratibu uonekane kama uchaguzi wa topolojia. Maneno hayo pia yamezeeka vibaya kwa masharti yao wenyewe, kwa sababu miundo ya leo hutumia matoleo ya TLS yanayotumika na jina SSL linabaki hasa kama kategoria ya bidhaa.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Mitholojia miwili inayohusiana inafuata kutoka kwa mkusanyiko huo huo. Ya kwanza ni kwamba IPsec inamaanisha tovuti-hadi-tovuti; IKEv2 iliundwa pia kwa mahusiano ya mteja-hadi-lango, kwa hivyo kompyuta mpakato moja inaweza kujiunga kwa IPsec. Ya pili ni kwamba bidhaa inayotegemea TLS inamaanisha ufikiaji wa mbali pekee; OpenVPN hutumika mara kwa mara kubeba trafiki kati ya tovuti mbili, na matumizi yake ya TLS yamejikita katika kubadilishana udhibiti na uthibitisho badala ya kikao cha kivinjari.
Jaribio muhimu kwa maelezo yoyote: ikiwa kubadilisha neno moja kunabadilisha mwisho na itifaki zote mbili, sentensi inachanganya mihimili. „SSL VPN dhidi ya tovuti-hadi-tovuti“ haipiti jaribio hilo, kwa sababu neno la kwanza linataja familia ya utaratibu na la pili linataja topolojia.
Eleza usambazaji ili uweze kulinganishwa
Andika sehemu nne na uzijaze: mwisho, utaratibu, uthibitisho na uso wa ufikiaji. Kiungo cha tawi kinaweza kusomwa kama jozi la malango ya IKEv2 kati ya viambishi viwili vilivyotajwa na uthibitisho wa cheti na bila tovuti ya kiwango cha mtumiaji. Huduma ya ufikiaji wa mbali inaweza kusomwa kama mteja anayetegemea TLS anayetenga anwani kwa kila mtumiaji, anayehitaji kipengele cha pili wakati wa kuingia na kuchapisha eneo la DNS la ndani pekee.
Sentensi hizo zinaweza kulinganishwa kwa njia ambayo majina ya bidhaa hayana. Miundo miwili ya ufikiaji wa mbali inaweza kupimwa dhidi ya mtiririko huo wa kazi wa mtumiaji na njia hiyo ya kufuta, na miundo miwili ya kati ya tovuti dhidi ya orodha hiyo ya viambishi, sera ya trafiki na mahitaji ya kushindwa. Lebo hupanga ulinganisho; hazina badala yake.
Istilahi pia ina nanga iliyochapishwa. Hati ya istilahi ya VPN ya IETF hutenganisha mifumo kadhaa ya huduma, ikiwa ni pamoja na ufikiaji wa mbali na tovuti-hadi-tovuti, kutoka kwa utaratibu unaotumika kuzijenga, na hiyo ndiyo tofauti inayoendelea kupotea.
Soma itifaki iliyojadiliwa, si jina la bidhaa
Lebo kwenye sanduku haiweki kile handaki linaloendesha limekubali. Muulize mwenza moja kwa moja, upande wa TLS, na soma toleo la itifaki na siri iliyozalishwa na kupeana mkono badala ya toleo la brosha.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefKwa lango la IPsec uchunguzi sawa unatoka kwenye pato la hali la utekelezaji lenyewe, ambalo huripoti mapendekezo ya IKE na ESP yanayotumika. Vyovyote vile, hoja ni moja: mhimili wa utaratibu lazima usomwe kutoka kwenye kikao hai, kwa sababu mteja na lango wanaweza kujadiliana chini hadi kitu cha zamani zaidi kuliko wasimamizi wote wawili walivyotarajia.
ipsec statusall | grep -E "IKE|ESP"Baada ya hapo, maswali yaliyobaki ni yale ambayo hakuna lebo inayojibu. Matoleo gani ya itifaki bado yanakubaliwa, utambulisho wa lango unathibitishwaje, seti gani ya algoriti inaruhusiwa, nani anaidhinisha mtumiaji fulani kwa rasilimali fulani, na nini kinafuta ufikiaji wakati kifaa kinapotea. Mchoro wa topolojia na jina la utaratibu ni mwanzo wa orodha hiyo, si badala yake.
Kwa hivyo baki na lebo mbili, lakini zitumie kwa kile zilivyo: njia fupi ya kusema ni mwisho upi unaounganishwa na jinsi handaki linavyojengwa. Wakati wowote moja inatumiwa kumtenga mwingine, maelezo yameacha kueleza chochote.