Концентратор чи шлюз? Де на вашому шляху розташований термінатор VPN

Два постачальники можуть називати той самий пристрій концентратором і шлюзом, і жодне з цих слів не скаже, де розшифровується трафік. Ярлики описують ролі під час розгортання, а не протоколи, і ролі перетинаються в усіх напрямках. Для огляду проєкту важливі пристрій, що завершує тунель, засоби контролю навколо нього і шлях, яким проходить розшифрований запит. Вирішуйте за цими трьома, і іменник у специфікації перестане бути аргументом.

Два ярлики, одне рішення

Концентратор зазвичай означає центральну систему, яка одночасно приймає та обслуговує багато з'єднань, і слово несе відтінок масштабу. Шлюз — ширший термін для кінцевої точки, що з'єднує тунель із мережами за нею, і може описувати маршрутизатор, міжмережевий екран або керований сервіс. Жодне слово не називає протокол і жодне не обіцяє певного набору функцій. Один і той самий пристрій два постачальники можуть продавати під обома назвами, і тому суперечка про термінологію ніколи не завершується.

Ставтеся до ярлика як до підказки про передбачуване використання і не більше. Рішення належить функціям, які можна перевірити в конфігурації, а не словам у брошурі.

Знайдіть пристрій, який справді завершує тунель

Простежте клієнтське з'єднання ззовні всередину. Щось приймає транспорт, щось автентифікує партнера, щось призначає клієнтові адресу, щось авторизує призначення, і щось забезпечує зворотний маршрут. Ці п'ять функцій можуть жити на одному пристрої або на п'яти, і єдине корисне питання — який пристрій що робить. Маршрутизатор вище за шляхом може переносити зовнішні пакети, ніколи їх не розшифровуючи, і саме в цьому випадку схема топології підштовхує рецензента назвати не той пристрій.

Підтвердьте завершення на самому кандидатіа не за кресленням. Слухаючий сокет на очікуваному порту разом зі встановленим записом стану — сильніший доказ, ніж схема мережі, а відсутність обох ще сильніша.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Вирішуйте за п'ятьма властивостями, а не за назвою продукту

П'ять властивостей відрізняють кандидатів, і на кожну можна відповісти з документації, а не з маркетингу. Які ролі VPN підтримує цей випуск, які джерела ідентичності може використовувати, яку область пересилання допускає, яку ємність тримає і як поводиться під час відмови. Запитайте ці п'ять письмово, і ярлик перестане мати значення для рішення.

Ємність — це властивість, на яку ярлик концентратора натякає найсильніше, і вона найчастіше залишається невизначеною. Обмеження одночасності, пропускна здатність на тунель і загальна пропускна здатність — три різні числа, і пристрій може бути щедрим в одному і скупим в іншому. Висока доступність — властивість пари, а не будь-якого з пристроїв, і вона належить до питання відновлення. Ярлик, що натякає на масштаб, не є специфікацією масштабу.

Відновлення належить до тієї самої розмови. Запитайте, як адміністратор потрапляє на пристрій, коли сам тунель — зламаний компонент, бо позасмуговий шлях — це проєктне рішення, а не аксесуар.

Перевірте докази до ярлика

Поточний сервіс слід оцінювати за підтримуваними ролями, політикою ідентичності, областю пересилання, ємністю та поведінкою під час відновлення, причому відповіді мають стосуватися тієї версії, яку ви розгорнете. Історичний огляд може пояснити, чому існує слово концентратор, але він не може сказати, що підтримує поточний випуск.Огляд Cisco VPNсаме тому є корисним термінологічним контекстом, і ставитися до нього як до актуального списку функцій — це шлях, яким огляд проєкту йде не так.

Потім перевірте одне твердження від початку до кінця. Виберіть властивість, яка важить найбільше, наприклад пропускну здатність на тунель або час перемикання, і запитайте метод вимірювання, а не число. Швидка локальна перевірка того, що пристрій справді показує, — розумний початок.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

У Linux перший рядок рахує асоціації безпеки, а тунель зазвичай має їх дві, по одній на напрямок, тому поділіть число на два, перш ніж порівнювати його з твердженням про тунелі. На хості strongSwan другий рядок називає тунелі безпосередньо. Підрахунок сокетів цього не замінює: IPsec NAT-T тримає один спільний сокет UDP 4500 для всіх тунелів, тому підрахунок сокетів на цьому порту дає нуль або один, скільки б тунелів не було. Жоден рядок не є вимірюванням пропускної здатності, і жоден не передбачає поведінку під навантаженням. Вони дають одиницю, про яку треба питати, а постачальник, який уміє описати метод, має специфікацію там, де той, хто не вміє, має брошуру.

Запишіть шлях, і ярлики перестануть мати значення

Опишіть архітектуру як список функцій із власниками: завершення, автентифікація, призначення адрес, авторизація, зворотна маршрутизація, журналювання та відновлення. Цей опис переживає перейменування продукту, зміну постачальника і поглинання, і жодне з них не оновить вашу схему.

Раз на квартал звіряйте його з реальною клієнтською сесією, бо функція може переміститися без того, щоб хтось правив креслення. Ярлики продовжать змінюватися, а список власників залишиться тим, що справді пояснює мережу.