SSL VPN ve siteden siteye VPN neden birbirinin zıddı değildir
SSL VPN ve siteden siteye VPN farklı eksenleri tanımlar: ağa kimin katıldığı ve tünelin nasıl kurulduğu. İkisini birlikte anmak bir kategori hatasıdır.
İki yöneticiden aynı VPN'i tanımlamalarını isteyin; biri „SSL VPN“ diye yanıtlayabilir, diğeri „siteden siteye“ der, sanki ikisi menüdeki rakip seçeneklermiş gibi. Bunlar farklı soruların yanıtlarıdır ve onları alternatif olarak görmek çözülemeyen karşılaştırmalar üretir. Eksenleri ayrı tutun, tartışmanın çoğu kaybolur.
İki etiket, iki ayrı soru
Topoloji kimin neye katıldığını yanıtlar. Uzaktan erişim tasarımı bireysel kullanıcıları veya cihazları bir ağ geçidine bağlar, genellikle kullanıcı başına kimlik ve bir adres havuzuyla. Siteden siteye tasarım iki ağı ağ geçitleri üzerinden birleştirir, bu yüzden ilginç kimlik klavyenin başındaki kişi değil, eş ağ geçididir. Bunlar adres planlamasından gece saat 2'de kimin erişimi iptal edebileceğine kadar farklı operasyonel sorunlardır.
Mekanizma tünelin nasıl kurulduğunu ve doğrulandığını yanıtlar. IKEv2'li IPsec, içinde IP taşıyan TLS tabanlı bir ürün ve tarayıcıya bakan bir uygulama portalı mekanizma seçimleridir ve her birinin kendi müzakere, şifre paketi ve hata modu vardır. Hiçbiri bir topoloji ima etmez ve bir topoloji mekanizma seçmez.
İki ekseni tek bir tabloya koyun ve karışıklık görünür hale gelir, çünkü ızgaranın her hücresi doldurulabilir. Izgaranın yapamadığı şey, satıcınızın hangi kombinasyonu gönderdiğini söylemektir, çünkü ürün adları iki ekseni tek bir pazarlama ifadesinde birleştirir.
Kategori hatası nereden gelir
Satıcılar yıllarca „SSL VPN“i „IPsec VPN“in zıddı olarak sattı, bu da mekanizma karşılaştırmasını topoloji seçimi gibi gösterdi. İfade kendi koşullarında da kötü yaşlandı, çünkü günümüz tasarımları desteklenen TLS sürümlerini kullanıyor ve SSL adı çoğunlukla ürün kategorisi olarak yaşıyor.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Aynı sıkıştırmadan iki ilgili mit doğar. Birincisi IPsec'in siteden siteye anlamına geldiğidir; IKEv2 istemciden ağ geçidine ilişkiler için de tasarlandı, bu yüzden tek bir dizüstü IPsec ile katılabilir. İkincisi TLS tabanlı bir ürünün yalnızca uzaktan erişim anlamına geldiğidir; OpenVPN iki site arasında trafik taşımak için rutin olarak kullanılır ve TLS kullanımı tarayıcı oturumunda değil, kontrol ve kimlik doğrulama alışverişinde yoğunlaşır.
Her açıklama için yararlı bir test: bir sözcüğü değiştirmek hem uç noktaları hem de protokolü değiştiriyorsa, cümle eksenleri karıştırıyor demektir. „SSL VPN siteden siteye karşı“ bu testi geçmez, çünkü ilk terim bir mekanizma ailesini, ikincisi bir topolojiyi adlandırır.
Dağıtımı karşılaştırılabilir şekilde tanımlayın
Dört alan yazın ve doldurun: uç noktalar, mekanizma, kimlik doğrulama ve erişim yüzeyi. Bir şube bağlantısı, iki adlandırılmış önek arasında sertifika doğrulamalı ve kullanıcı düzeyinde portalı olmayan bir IKEv2 ağ geçidi çifti olarak okunabilir. Uzaktan erişim hizmeti, her kullanıcıya adres atayan, girişte ikinci bir faktör isteyen ve yalnızca iç DNS bölgesini yayımlayan TLS tabanlı bir istemci olarak okunabilir.
Bu cümleler ürün adlarının olmadığı biçimde karşılaştırılabilir. İki uzaktan erişim tasarımı aynı kullanıcı iş akışına ve aynı iptal yoluna karşı ölçülebilir, iki siteler arası tasarım ise aynı önek listesine, trafik politikasına ve hata gereksinimlerine karşı. Etiketler karşılaştırmayı düzenler; onun yerini almaz.
Terminolojinin yayımlanmış bir dayanağı da vardır. IETF'nin VPN terminolojisi belgesi uzaktan erişim ve siteden siteye dahil birkaç hizmet modelini, bunların inşa edildiği mekanizmalardan ayırır ve bu tam olarak sürekli kaybolan ayrımdır.
Ürün adını değil, müzakere edilen protokolü okuyun
Kutudaki etiket, çalışan bir tünelin ne üzerinde anlaştığını belirlemez. Eşe doğrudan TLS tarafında sorun ve broşürdeki sürüm yerine el sıkışmanın ürettiği protokol sürümünü ve şifreyi okuyun.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefBir IPsec ağ geçidi için eşdeğer gözlem, kullanılan IKE ve ESP tekliflerini bildiren uygulamanın kendi durum çıktısından gelir. Her durumda nokta aynıdır: mekanizma ekseni canlı oturumdan okunmalıdır, çünkü istemci ve ağ geçidi her iki yöneticinin beklediğinden daha eski bir şey üzerinde aşağı müzakere edebilir.
ipsec statusall | grep -E "IKE|ESP"Bundan sonra kalan sorular hiçbir etiketin yanıtlamadığı sorulardır. Hangi protokol sürümleri hâlâ kabul ediliyor, ağ geçidinin kimliği nasıl doğrulanıyor, hangi algoritma kümesine izin veriliyor, belirli bir kullanıcıyı belirli bir kaynak için kim yetkilendiriyor ve cihaz kaybolduğunda erişimi ne iptal ediyor. Bir topoloji diyagramı ve bir mekanizma adı o listenin başlangıcıdır, onun yerine geçmez.
Öyleyse iki etiketi koruyun, ama onları oldukları şey için kullanın: hangi uç noktaların birleştirildiğini ve tünelin nasıl kurulduğunu söylemenin kısa yolu. Biri diğerini dışlamak için kullanıldığı anda, açıklama herhangi bir şeyi açıklamayı bırakır.