Konsentrador o gateway? Saan naroon ang dulo ng VPN sa iyong landas

Maaaring tawagin ng dalawang vendor ang isang device na konsentrador at gateway, at wala sa dalawang salitang iyon ang magsasabi sa iyo kung saan dinedekripto ang trapiko. Inilalarawan ng mga label ang mga tungkulin sa deployment at hindi ang mga protocol, at nagpapatong-patong ang mga tungkulin sa lahat ng direksyon. Sa isang pagsusuri ng disenyo, ang mahalaga ay ang device na nagtatapos sa tunnel, ang mga kontrol sa paligid nito at ang landas na tinatahak ng isang dekriptadong kahilingan. Magpasya mula sa tatlong iyon, at ang pangngalan sa datasheet ay hihinto sa pagiging argumento.

Dalawang label, isang desisyon

Ang konsentrador ay karaniwang tumutukoy sa sentral na sistema na tumatanggap at namamahala ng maraming koneksyon nang sabay, at ang salita ay may pahiwatig ng sukat. Ang gateway ay ang mas malawak na termino para sa isang dulo na nag-uugnay ng tunnel sa mga network sa likuran nito, at maaari nitong ilarawan ang isang router, firewall o pinamamahalaang serbisyo. Wala sa mga salita ang nagpangalan ng protocol, at wala ring nangangako ng partikular na set ng feature. Ang parehong device ay maaaring ibenta sa ilalim ng dalawang pangalan ng dalawang vendor, at iyon ang dahilan kung bakit hindi kailanman naayos ang debate sa terminolohiya.

Ituring ang label na pahiwatig tungkol sa nilalayong gamit at wala nang iba pa. Ang desisyon ay pag-aari ng mga tungkuling maaari mong i-verify sa configuration, hindi ng mga salita sa brochure.

Hanapin ang device na talagang nagtatapos

Sundan ang koneksyon ng kliyente mula sa labas patungo sa loob. May tumatanggap ng transport, may nagpapatunay sa kapareha, may nagbibigay ng address sa kliyente, may nagpapahintulot sa destinasyon, at may nagbibigay ng rutang pabalik. Ang limang tungkuling iyon ay maaaring nasa isang device o sa lima, at ang tanging kapaki-pakinabang na tanong ay kung aling device ang gumagawa ng ano. Ang router sa itaas ay maaaring magdala ng mga panlabas na packet nang hindi kailanman dine-dekripto ang mga ito, at iyon mismo ang kaso kung saan napapabaya ng diagram ng topolohiya ang tagasuri na pangalanan ang maling device.

Kumpirmahin ang pagtatapos sa kandidato mismoat hindi mula sa guhit. Ang socket na nakikinig sa inaasahang port kasama ang naitatag na entry ng estado ay mas matibay na ebidensya kaysa diagram ng network, at ang kawalan ng pareho ay mas matibay pa.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Magpasya sa limang katangian, hindi sa pangalan ng produkto

Limang katangian ang naghihiwalay sa mga kandidato, at bawat isa ay masasagot mula sa dokumentasyon at hindi sa marketing. Anong mga tungkulin ng VPN ang sinusuportahan ng release na ito, anong mga pinagmulan ng pagkakakilanlan ang magagamit nito, anong saklaw ng pagpapasa ang pinapayagan nito, gaano karaming kapasidad ang kinakaya nito, at paano ito kumikilos kapag nabigo. Hilingin ang limang iyon sa sulat at ang label ay magiging walang kaugnayan sa desisyon.

Ang kapasidad ang katangiang pinakamalakas na ipinahihiwatig ng label na konsentrador, at ito ang pinakamadalas iwanang malabo. Ang mga limitasyon ng sabayang paggana, ang throughput bawat tunnel at ang kabuuang throughput ay tatlong magkaibang bilang, at ang isang device ay maaaring mapagbigay sa isa at kuripot sa isa pa. Ang mataas na availability ay katangian ng pares at hindi ng alinman sa mga device, at kabilang ito sa tanong ng pagbangon. Ang label na nagpapahiwatig ng sukat ay hindi isang espesipikasyon ng sukat.

Ang pagbangon ay bahagi ng parehong usapan. Itanong kung paano nararating ng administrador ang device kapag ang tunnel mismo ang sirang bahagi, dahil ang landas sa labas ng banda ay desisyon sa disenyo at hindi accessory.

Suriin ang ebidensya bago ang label

Ang kasalukuyang serbisyo ay dapat tasahin sa mga sinusuportahang tungkulin, patakaran sa pagkakakilanlan, saklaw ng pagpapasa, kapasidad at pag-uugali sa pagbangon, na may mga sagot na partikular sa bersyong ilalabas mo. Ang makasaysayang pangkalahatang-tanaw ay maaaring magpaliwanag kung bakit may salitang konsentrador, ngunit hindi nito masasabi kung ano ang sinusuportahan ng kasalukuyang release.Pangkalahatang-tanaw ng Cisco VPNay kapaki-pakinabang na konteksto ng terminolohiya dahil mismo doon, at ang pagtrato dito bilang kasalukuyang listahan ng feature ay ang paraan kung paano napapasama ang pagsusuri ng disenyo.

Pagkatapos i-verify ang isang claim mula simula hanggang dulo. Piliin ang katangiang pinakamahalaga, tulad ng throughput bawat tunnel o oras ng failover, at hilingin ang paraan ng pagsukat at hindi ang bilang. Ang mabilis na lokal na pagsusuri kung ano talaga ang ipinapakita ng device ay makatwirang simula.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Sa Linux ang unang linya ay nagbibilang ng mga security association, at ang isang tunnel ay karaniwang may dalawa, isa bawat direksyon, kaya hatiin ang bilang bago ito ihambing sa isang claim tungkol sa tunnel. Sa host na strongSwan ang ikalawang linya ay direktang nagpangalan ng mga tunnel. Ang pagbilang ng socket ay hindi kapalit: pinapanatili ng IPsec NAT-T ang isang socket na UDP 4500 na pinagsasaluhan ng bawat tunnel, kaya ang pagbilang ng socket sa port na iyon ay nagbabalik ng sero o isa, gaano man karaming tunnel ang umiiral. Wala sa mga linya ang pagsukat ng throughput, at wala ring humuhula ng pag-uugali sa ilalim ng load. Ang ibinibigay nila ay ang yunit na dapat itanong, at ang vendor na kayang ilarawan ang paraan ay may espesipikasyon kung saan ang hindi kayang gawin ay may brochure.

Isulat ang landas at hindi na mahalaga ang mga label

Ilarawan ang arkitektura bilang listahan ng mga tungkulin kasama ang mga may-ari: pagtatapos, pagpapatunay, paglalaan ng address, pagpapahintulot, pagruruta pabalik, pag-log at pagbangon. Ang paglalarawang iyon ay nakakaligtas sa pagpalit ng pangalan ng produkto, pagpalit ng vendor at pagkuha, at wala sa mga iyon ang mag-a-update ng iyong diagram.

Suriin ito laban sa isang tunay na sesyon ng kliyente isang beses bawat quarter, dahil ang isang tungkulin ay maaaring lumipat nang walang sinumang nag-e-edit ng guhit. Patuloy na magbabago ang mga label, at ang listahan ng mga may-ari ang patuloy na magiging bagay na talagang nagpapaliwanag sa network.