Як вибрати міжсайтові VPN-шлюзи, що працюють разом

Два сайтові шлюзи від різних постачальників утворять тунель, якщо їхні реалізації домовляться про параметри, що узгоджуються. Однакові марки не є умовою, і збіжні марки також не гарантія. Питання сумісності стосується функцій і випусків; питання ємності стосується роботи, яку пристрій має виконати в програмному забезпеченні. Розглядайте їх як дві перевірки, саме в такому порядку.

Пройдіть список по порядку і зупиніться на першому пункті, на який немає відповіді.

Почніть із функцій протоколу, а не з марки

Для протоколу, який ви збираєтеся запускати, перелічіть, що потрібно проєкту: метод автентифікації, узгоджені пропозиції щодо шифрування й цілісності, інтерфейс або конструкцію захищеного трафіку, режим маршрутизації та те, чи перебуває якийсь бік за NAT. Кожна з них — функція, яку реалізація мусить підтримувати, а не прапорець на сторінці продукту.

Вимоги AWS до клієнтського шлюзу — корисний шаблон навіть тоді, коли ви не підключаєтеся до AWS, бо вони викладають контракт як набір зобов'язань щодо протоколу й маршрутизації. Зразковий файл постачальника для конкретної моделі — гідний доказ того, що хтось перевірив цю комбінацію. Загальна етикетка із заявою про підтримку IPsec не доводить ні версії, ні моделі політики. Читайте примітки до випуску, а не маркетингове резюме.

Перевіряйте випуск, а не етикетку на специфікації

Сумісність IKEv2 визначають узгоджені параметри, тож питання в тому, які пропозиції пропонує й приймає поточна прошивка. Пристрій, що підтримує протокол загалом, усе одно може відхилити конкретну комбінацію, на якій наполягає ваш інший бік. Підтвердьте рядок версії та список пропозицій з обох боків.

Примітка про те, що функція з'явилася в пізнішому поїзді прошивки, трапляється достатньо часто, щоб заслужити окремий пункт контрольного списку.

Розглядайте ємність як окреме питання

Шифрування коштує роботи, і скільки саме залежить від реалізації не менше, ніж від алгоритму. Деякі шляхи прискорення діють лише для певних алгоритмів або певних шляхів пересилання, тому пристрій може бути швидким в одній конфігурації й повільним в іншій. Звичайна пропускна здатність WAN — це не пропускна здатність шифрованого тунелю. Добирайте пристрій під трафік, який ви справді захищатимете.

Розмір пакета теж має значення, бо інкапсуляція та будь-які додаткові накладні витрати зменшують корисне навантаження, яке несе кожен пакет.

Визначте політику маршрутизації явно

Міжсайтовий режим не означає, що тунель може використовувати лише вибраний трафік, і не означає, що все мусить. Проєкт може нести певні приватні префікси або спрямовувати маршрут за замовчуванням через шлюз. Виберіть один варіант і запишіть його, бо обидва боки мають домовитися про те, що анонсується і що приймається. Неузгодженість тут дає тунель, який піднято, і мережу, яка доступна наполовину.

Динамічно маршрутизовані проєкти додають ще одну вимогу: підтримка протоколу маршрутизації з обох боків.

Що порівняти перед покупкою

Порівняйте частоту оновлень, докази сумісності, відновлення конфігурації та заплановану поведінку під час перемикання разом із піковою швидкістю передавання. Запитайте, що відбувається, коли пристрій перезавантажується із застарілою конфігурацією. Запитайте, чи публікує постачальник список сумісності для того самого партнера, якого ви плануєте використовувати. Запитайте, хто відповідає за зміну, коли оновлення прошивки змінює пропозицію за замовчуванням.

Гарантія на апаратне забезпечення не відповідає на жодне з цих питань.

Потім перевірте пару, перш ніж зобов'язуватися щодо всього парку. Один тунель, реальні пропозиції, реальний режим маршрутизації та передавання, схоже на робоче навантаження, скажуть вам більше, ніж будь-яка таблиця специфікацій.