Yoğunlaştırıcı mı ağ geçidi mi? VPN sonlandırması yolunuzun neresinde

İki tedarikçi aynı kutuyu yoğunlaştırıcı ve ağ geçidi olarak adlandırabilir ve iki sözcükten hiçbiri trafiğin nerede çözüldüğünü size söylemez. Etiketler protokolleri değil dağıtım rollerini anlatır ve roller her yönde örtüşür. Bir tasarım incelemesinde önemli olan tüneli sonlandıran cihaz, çevresindeki kontroller ve çözülmüş bir isteğin izlediği yoldur. Bu üçünden karar verin, veri sayfasındaki ad artık bir tartışma olmaktan çıkar.

İki etiket, tek karar

Yoğunlaştırıcı genellikle aynı anda çok sayıda bağlantıyı kabul eden ve yöneten merkezi sistemi ifade eder ve sözcük ölçek iması taşır. Ağ geçidi, tüneli arkasındaki ağlara bağlayan uç nokta için daha geniş bir terimdir ve bir yönlendiriciyi, güvenlik duvarını ya da yönetilen bir hizmeti tanımlayabilir. Hiçbir sözcük bir protokol adı vermez ve hiçbiri belirli bir özellik kümesi vaat etmez. Aynı cihaz iki tedarikçi tarafından iki adla satılabilir ve terminoloji tartışmasının hiç bitmemesinin nedeni budur.

Etiketi amaçlanan kullanıma dair bir ipucu olarak görün, fazlası değil. Karar yapılandırmada doğrulayabildiğiniz işlevlere aittir, broşürdeki sözcüklere değil.

Tüneli gerçekten sonlandıran cihazı bulun

Bir istemci bağlantısını dışarıdan içeriye doğru izleyin. Bir şey taşımayı kabul eder, bir şey karşı tarafı doğrular, bir şey istemciye adres atar, bir şey hedefi yetkilendirir ve bir şey dönüş yolu sağlar. Bu beş işlev tek bir cihazda ya da beşinde olabilir ve tek yararlı soru hangi cihazın ne yaptığıdır. Yukarıdaki bir yönlendirici dış paketleri hiç çözmeden taşıyabilir ve topoloji şemasının inceleyiciyi yanlış kutuyu adlandırmaya sürüklemesi tam olarak bu durumdur.

Sonlandırmayı adayın kendisinde doğrulayınçizimden değil. Beklenen bağlantı noktasında dinleyen bir soket ile kurulmuş bir durum kaydı birlikte bir ağ şemasından daha güçlü kanıttır, ikisinin de yokluğu daha da güçlüdür.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Ürün adıyla değil, beş özellikle karar verin

Beş özellik adayları ayırır ve her biri pazarlamadan değil belgelerden yanıtlanabilir. Bu sürüm hangi VPN rollerini destekler, hangi kimlik kaynaklarını kullanabilir, hangi yönlendirme kapsamına izin verir, ne kadar kapasite taşır ve arıza durumunda nasıl davranır. Bu beşini yazılı isteyin, etiket karar için önemsizleşir.

Kapasite, yoğunlaştırıcı etiketinin en güçlü biçimde ima ettiği özelliktir ve en sık belirsiz bırakılan odur. Eşzamanlılık sınırları, tünel başına aktarım hızı ve toplam aktarım hızı üç ayrı sayıdır ve bir cihaz birinde cömert, diğerinde cimri olabilir. Yüksek kullanılabilirlik kutulardan birinin değil çiftin özelliğidir ve kurtarma sorusuna aittir. Ölçek ima eden bir etiket ölçeğin belirtimi değildir.

Kurtarma aynı konuşmanın parçasıdır. Tünelin kendisi bozuk bileşen olduğunda yöneticinin cihaza nasıl ulaştığını sorun, çünkü bant dışı bir yol aksesuar değil tasarım kararıdır.

Etiketten önce kanıtı denetleyin

Güncel bir hizmet desteklenen roller, kimlik ilkesi, yönlendirme kapsamı, kapasite ve kurtarma davranışı üzerinden değerlendirilmeli ve yanıtlar dağıtacağınız sürüme özgü olmalıdır. Tarihsel bir genel bakış yoğunlaştırıcı sözcüğünün neden var olduğunu açıklayabilir ama güncel bir sürümün neyi desteklediğini söyleyemez.Cisco VPN genel bakışıtam da bu nedenle yararlı bir terminoloji bağlamıdır ve onu güncel bir özellik listesi olarak ele almak bir tasarım incelemesinin yanlış gitme biçimidir.

Ardından bir iddiayı baştan sona doğrulayın. En çok önem taşıyan özelliği seçin, örneğin tünel başına aktarım hızı ya da geçiş süresi, ve sayıyı değil ölçüm yöntemini isteyin. Cihazın gerçekte ne gösterdiğine dair hızlı bir yerel kontrol makul bir başlangıçtır.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux'ta ilk satır güvenlik ilişkilerini sayar ve bir tünelde genellikle iki tane vardır, her yön için bir tane, bu yüzden sayıyı bir tünel iddiasıyla karşılaştırmadan önce ikiye bölün. strongSwan ana bilgisayarında ikinci satır tünelleri doğrudan adlandırır. Soket sayımı bunun yerini tutmaz: IPsec NAT-T her tünelin paylaştığı tek bir UDP 4500 soketi tutar, bu yüzden o bağlantı noktasında soket saymak kaç tünel olursa olsun sıfır ya da bir verir. Hiçbir satır aktarım hızı ölçümü değildir ve hiçbiri yük altındaki davranışı öngörmez. Size sorulacak birimi verirler ve yöntemi açıklayabilen tedarikçinin bir belirtimi vardır, açıklayamayanın ise broşürü.

Yolu yazın ve etiketler önemini yitirsin

Mimariyi sahipleriyle birlikte işlev listesi olarak tanımlayın: sonlandırma, kimlik doğrulama, adres atama, yetkilendirme, dönüş yönlendirmesi, günlükleme ve kurtarma. Bu tanım bir ürün adı değişikliğini, bir tedarikçi değişikliğini ve bir satın almayı atlatır ve hiçbiri şemanızı güncellemez.

Çeyrekte bir gerçek bir istemci oturumuna karşı gözden geçirin, çünkü bir işlev kimse çizimi düzenlemeden yer değiştirebilir. Etiketler değişmeye devam edecek ve sahip listesi ağı gerçekten açıklayan şey olmayı sürdürecek.