คอนเซนเทรเตอร์หรือเกตเวย์ จุดสิ้นสุด VPN อยู่ตรงไหนในเส้นทางของคุณ

ผู้จำหน่ายสองรายเรียกอุปกรณ์เดียวกันว่าคอนเซนเทรเตอร์และเกตเวย์ได้ และไม่มีคำใดบอกคุณว่าการรับส่งข้อมูลถูกถอดรหัสที่ไหน ป้ายกำกับอธิบายบทบาทการติดตั้งไม่ใช่โพรโทคอล และบทบาทซ้อนทับกันทุกทิศทาง สิ่งที่สำคัญในการทบทวนการออกแบบคืออุปกรณ์ที่สิ้นสุดอุโมงค์ การควบคุมรอบ ๆ อุปกรณ์นั้น และเส้นทางที่คำขอซึ่งถอดรหัสแล้วเดินไป ตัดสินใจจากสามสิ่งนี้ แล้วคำนามบนแผ่นข้อมูลจะเลิกเป็นข้อโต้แย้ง

สองป้าย หนึ่งการตัดสินใจ

คอนเซนเทรเตอร์มักหมายถึงระบบศูนย์กลางที่รับและจัดการการเชื่อมต่อจำนวนมากในเวลาเดียวกัน และคำนี้สื่อถึงขนาด เกตเวย์เป็นคำที่กว้างกว่าสำหรับจุดปลายที่เชื่อมอุโมงค์เข้ากับเครือข่ายที่อยู่เบื้องหลัง และอาจอธิบายเราเตอร์ ไฟร์วอลล์ หรือบริการที่มีผู้ดูแล ไม่มีคำใดระบุชื่อโพรโทคอล และไม่มีคำใดสัญญาชุดคุณสมบัติใดชุดหนึ่ง อุปกรณ์เดียวกันอาจถูกขายภายใต้ทั้งสองชื่อโดยผู้จำหน่ายสองราย และนั่นคือเหตุผลที่การโต้เถียงเรื่องคำศัพท์ไม่เคยจบ

มองป้ายกำกับเป็นเพียงเบาะแสเกี่ยวกับการใช้งานที่ตั้งใจและไม่มีอะไรมากกว่านั้น การตัดสินใจเป็นของการทำงานที่คุณตรวจสอบได้ในการกำหนดค่า ไม่ใช่คำในแผ่นพับ

ค้นหาอุปกรณ์ที่สิ้นสุดอุโมงค์จริง ๆ

ติดตามการเชื่อมต่อของไคลเอนต์จากภายนอกเข้าไปข้างใน มีบางอย่างรับการขนส่ง บางอย่างพิสูจน์ตัวตนของคู่สัญญา บางอย่างให้ที่อยู่แก่ไคลเอนต์ บางอย่างอนุญาตปลายทาง และบางอย่างจัดหาเส้นทางกลับ การทำงานทั้งห้านี้อยู่บนอุปกรณ์เดียวหรือห้าตัวก็ได้ และคำถามที่มีประโยชน์เพียงข้อเดียวคืออุปกรณ์ใดทำอะไร เราเตอร์ที่อยู่เหนือขึ้นไปอาจขนส่งแพ็กเก็ตภายนอกโดยไม่ถอดรหัสเลย และนั่นคือกรณีที่แผนภาพโครงข่ายทำให้ผู้ทบทวนระบุอุปกรณ์ผิด

ยืนยันการสิ้นสุดบนตัวผู้สมัครเองไม่ใช่จากภาพวาด ซ็อกเก็ตที่รอฟังบนพอร์ตที่คาดไว้พร้อมรายการสถานะที่จัดตั้งขึ้นนั้นเป็นหลักฐานที่แข็งแรงกว่าแผนภาพเครือข่าย และการไม่มีทั้งสองอย่างก็แข็งแรงกว่า

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

ตัดสินด้วยคุณสมบัติห้าข้อ ไม่ใช่ชื่อผลิตภัณฑ์

คุณสมบัติห้าข้อแยกผู้สมัครออกจากกัน และแต่ละข้อตอบได้จากเอกสารไม่ใช่การตลาด รุ่นนี้รองรับบทบาท VPN ใด ใช้แหล่งตัวตนใดได้ ขอบเขตการส่งต่อใดอนุญาต รองรับความจุเท่าใด และทำงานอย่างไรเมื่อล้มเหลว ขอทั้งห้าข้อเป็นลายลักษณ์อักษร แล้วป้ายกำกับจะไม่เกี่ยวข้องกับการตัดสินใจ

ความจุคือคุณสมบัติที่ป้ายคอนเซนเทรเตอร์สื่อมากที่สุด และเป็นข้อที่มักถูกปล่อยให้คลุมเครือที่สุด ขีดจำกัดการทำงานพร้อมกัน อัตราการส่งต่อต่ออุโมงค์ และอัตราการส่งต่อรวมเป็นตัวเลขสามค่าที่ต่างกัน และอุปกรณ์อาจใจกว้างในข้อหนึ่งแต่ขี้เหนียวในอีกข้อ ความพร้อมใช้งานสูงเป็นคุณสมบัติของคู่ ไม่ใช่ของอุปกรณ์ใดอุปกรณ์หนึ่ง และอยู่ในคำถามเรื่องการกู้คืน ป้ายที่สื่อถึงขนาดไม่ใช่ข้อกำหนดของขนาด

การกู้คืนอยู่ในบทสนทนาเดียวกัน ถามว่าผู้ดูแลเข้าถึงอุปกรณ์อย่างไรเมื่ออุโมงค์เองคือชิ้นส่วนที่เสีย เพราะเส้นทางนอกช่องสัญญาณเป็นการตัดสินใจออกแบบไม่ใช่อุปกรณ์เสริม

ตรวจสอบหลักฐานก่อนป้ายกำกับ

บริการปัจจุบันควรถูกประเมินจากบทบาทที่รองรับ นโยบายตัวตน ขอบเขตการส่งต่อ ความจุ และพฤติกรรมการกู้คืน โดยคำตอบต้องเฉพาะเจาะจงกับรุ่นที่คุณจะติดตั้ง ภาพรวมเชิงประวัติศาสตร์อธิบายได้ว่าทำไมคำว่าคอนเซนเทรเตอร์จึงมีอยู่ แต่บอกไม่ได้ว่ารุ่นปัจจุบันรองรับอะไรภาพรวม Cisco VPNเป็นบริบททางคำศัพท์ที่มีประโยชน์ด้วยเหตุผลนั้นเอง และการปฏิบัติต่อมันเป็นรายการคุณสมบัติปัจจุบันคือวิธีที่การทบทวนการออกแบบผิดพลาด

จากนั้นตรวจสอบข้อกล่าวอ้างหนึ่งข้อตั้งแต่ต้นจนจบ เลือกคุณสมบัติที่สำคัญที่สุด เช่น อัตราการส่งต่อต่ออุโมงค์หรือเวลาสลับใช้งาน และขอวิธีการวัดไม่ใช่ตัวเลข การตรวจสอบในเครื่องอย่างรวดเร็วว่าอุปกรณ์แสดงอะไรจริงเป็นจุดเริ่มต้นที่สมเหตุสมผล

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

บน Linux บรรทัดแรกนับสมาคมความปลอดภัย และอุโมงค์มักมีสองรายการ หนึ่งต่อทิศทาง จึงหารจำนวนนั้นด้วยสองก่อนเปรียบเทียบกับข้อกล่าวอ้างเรื่องอุโมงค์ บนโฮสต์ strongSwan บรรทัดที่สองระบุชื่ออุโมงค์โดยตรง การนับซ็อกเก็ตไม่ใช่สิ่งทดแทน: IPsec NAT-T เก็บซ็อกเก็ต UDP 4500 เดียวที่ใช้ร่วมกันทุกอุโมงค์ ดังนั้นการนับซ็อกเก็ตบนพอร์ตนั้นจึงได้ศูนย์หรือหนึ่ง ไม่ว่าจะมีอุโมงค์กี่อุโมงค์ ไม่มีบรรทัดใดเป็นการวัดอัตราการส่งต่อ และไม่มีบรรทัดใดพยากรณ์พฤติกรรมภายใต้โหลด สิ่งที่มันให้คือหน่วยที่คุณต้องถาม และผู้จำหน่ายที่อธิบายวิธีการได้ก็มีข้อกำหนด ส่วนผู้ที่ทำไม่ได้ก็มีแผ่นพับ

เขียนเส้นทางลงไป แล้วป้ายกำกับจะไม่สำคัญอีก

อธิบายสถาปัตยกรรมเป็นรายการการทำงานพร้อมผู้รับผิดชอบ: การสิ้นสุด การพิสูจน์ตัวตน การจัดสรรที่อยู่ การอนุญาต การกำหนดเส้นทางกลับ การบันทึก และการกู้คืน คำอธิบายนั้นอยู่รอดจากการเปลี่ยนชื่อผลิตภัณฑ์ การเปลี่ยนผู้จำหน่าย และการเข้าซื้อกิจการ และไม่มีสิ่งใดจะอัปเดตแผนภาพของคุณ

ทบทวนเทียบกับเซสชันไคลเอนต์จริงไตรมาสละครั้ง เพราะการทำงานหนึ่งอาจย้ายที่ได้โดยไม่มีใครแก้ไขภาพวาด ป้ายกำกับจะเปลี่ยนต่อไป และรายชื่อผู้รับผิดชอบจะยังคงเป็นสิ่งที่อธิบายเครือข่ายได้จริง