Bakit ang SSL VPN at site-to-site VPN ay hindi magkasalungat

Hilingin sa dalawang administrador na ilarawan ang parehong VPN at maaaring sumagot ang isa ng “SSL VPN” habang sinasabi ng iba na “site-to-site”, na para bang magkaribal na opsyon sa isang menu. Mga sagot ang mga ito sa magkaibang tanong, at ang pagtrato sa kanila bilang alternatibo ay lumilikha ng mga paghahambing na hindi malulutas. Paghiwalayin ang mga aksis at mawawala ang malaking bahagi ng pagtatalo.

Dalawang label, dalawang hiwalay na tanong

Sinasagot ng topolohiya kung sino ang sumasali sa ano. Ang disenyo ng remote access ay nag-uugnay ng indibidwal na user o device sa isang gateway, karaniwang may pagkakakilanlan bawat user at pool ng mga address. Ang disenyo ng site-to-site ay nag-uugnay ng dalawang network sa pamamagitan ng mga gateway, kaya ang kawili-wiling pagkakakilanlan ay ang peer gateway at hindi ang taong nasa keyboard. Magkaibang problema sa operasyon ang mga ito, mula sa pagpaplano ng address hanggang sa kung sino ang makakapagbawi ng access nang alas-2 ng madaling-araw.

Sinasagot ng mekanismo kung paano itinayo at pinatotohanan ang tunnel. IPsec na may IKEv2, isang produktong nakabase sa TLS na nagdadala ng IP sa loob nito, at isang portal ng aplikasyon na nakaharap sa browser ay mga pagpipilian sa mekanismo, at bawat isa ay may sariling negosasyon, cipher suite at paraan ng pagpalya. Wala sa mga ito ang nagpapahiwatig ng topolohiya, at ang topolohiya ay hindi pumipili ng mekanismo.

Ilagay ang dalawang aksis sa isang talahanayan at magiging nakikita ang kalituhan, dahil mapupuno ang bawat cell ng grid. Ang hindi kaya ng grid ay sabihin sa iyo kung aling kombinasyon ang ipinadala ng iyong vendor, dahil pinagsasama ng mga pangalan ng produkto ang dalawang aksis sa isang pariralang marketing.

Saan nagmumula ang kamalian sa kategorya

Ilang taon na ipinagbili ng mga vendor ang “SSL VPN” bilang kabaligtaran ng “IPsec VPN”, na ginagawang parang pagpili ng topolohiya ang paghahambing ng mekanismo. Ang parirala ay tumanda rin nang masama sa sarili nitong mga tuntunin, dahil gumagamit ng mga sinusuportahang bersyon ng TLS ang mga disenyo ngayon at ang pangalang SSL ay nananatili pangunahin bilang kategorya ng produkto.

Dalawang kaugnay na alamat ang sumusunod mula sa parehong pagsasanib. Ang una ay ang IPsec ay nangangahulugang site-to-site; dinisenyo rin ang IKEv2 para sa mga relasyong kliyente-sa-gateway, kaya ang isang laptop ay makakasali gamit ang IPsec. Ang pangalawa ay ang produktong nakabase sa TLS ay nangangahulugang remote access lamang; OpenVPN ay karaniwang ginagamit upang magdala ng trapiko sa pagitan ng dalawang site, at ang paggamit nito ng TLS ay nakatuon sa palitan ng kontrol at pagpapatotoo sa halip na sa isang sesyon ng browser.

Isang kapaki-pakinabang na pagsubok para sa anumang paglalarawan: kung ang pagpapalit ng isang salita ay nagbabago ng mga dulo at ng protocol, pinaghahalo ng pangungusap ang mga aksis. Ang “SSL VPN kumpara sa site-to-site” ay nabigo sa pagsubok na iyon, dahil ang unang termino ay nagpangalan ng isang pamilya ng mekanismo at ang pangalawa ay topolohiya.

Ilarawan ang deployment upang maihambing ito

Sumulat ng apat na patlang at punan ang mga ito: mga dulo, mekanismo, pagpapatotoo at surface ng access. Ang link ng sangay ay mababasa bilang pares ng IKEv2 gateway sa pagitan ng dalawang pinangalanang prefix na may pagpapatotoo ng sertipiko at walang portal sa antas ng user. Ang serbisyo ng remote access ay mababasa bilang kliyenteng nakabase sa TLS na naglalaan ng address bawat user, nangangailangan ng pangalawang salik sa pag-log in at naglalathala lamang ng panloob na DNS zone.

Ang mga pangungusap na iyon ay maihahambing sa paraang hindi maihahambing ang mga pangalan ng produkto. Dalawang disenyo ng remote access ay masusukat laban sa parehong workflow ng user at parehong landas ng pagbawi, at dalawang disenyo sa pagitan ng mga site laban sa parehong listahan ng prefix, patakaran ng trapiko at mga kinakailangan sa pagpalya. Inaayos ng mga label ang paghahambing; hindi nila ito pinapalitan.

Ang terminolohiya ay mayroon ding nailathalang angkla. Ang dokumento ng terminolohiya ng VPN ng IETF ay naghihiwalay ng ilang modelo ng serbisyo, kabilang ang remote access at site-to-site, mula sa mga mekanismong ginagamit upang itayo ang mga ito, at iyon mismo ang pagkakaibang patuloy na nawawala.

Basahin ang napagkasunduang protocol, hindi ang pangalan ng produkto

Hindi itinatakda ng label sa kahon kung ano ang napagkasunduan ng tumatakbong tunnel. Tanungin ang peer nang direkta, sa panig ng TLS, at basahin ang bersyon ng protocol at cipher na ginawa ng handshake sa halip na ang bersyon sa brochure.

openssl s_client -connect vpn.example.net:443 -tls1_3 -brief

Para sa isang IPsec gateway ang katumbas na obserbasyon ay nagmumula sa sariling output ng status ng implementasyon, na nag-uulat ng mga gamit na proposal ng IKE at ESP. Anuman ang mangyari, ang punto ay pareho: ang aksis ng mekanismo ay dapat basahin mula sa buhay na sesyon, dahil ang kliyente at gateway ay maaaring makipagnegosasyon pababa sa isang bagay na mas luma kaysa inaasahan ng alinmang administrador.

ipsec statusall | grep -E "IKE|ESP"

Pagkatapos nito, ang natitirang mga tanong ay ang hindi sinasagot ng anumang label. Aling mga bersyon ng protocol ang tinatanggap pa, paano pinapatunayan ang pagkakakilanlan ng gateway, aling set ng algorithm ang pinapayagan, sino ang nagpapahintulot sa isang partikular na user para sa isang partikular na resource, at ano ang nagbabawi ng access kapag nawala ang isang device. Ang diagram ng topolohiya at pangalan ng mekanismo ay simula ng listahang iyon, hindi kapalit nito.

Kaya panatilihin ang dalawang label, ngunit gamitin ang mga ito para sa kung ano sila: isang maikling paraan upang sabihin kung aling mga dulo ang pinag-uugnay at paano itinayo ang tunnel. Sa sandaling gamitin ang isa upang ibukod ang isa, tumigil na ang paglalarawan sa paglalarawan ng anuman.