Konsentratormi yoki shlyuzmi? VPN tugashi yo'lingizning qayerida

Ikki ta'minotchi bir qurilmani konsentrator va shlyuz deb atashi mumkin, va bu ikki so'zning hech biri trafik qayerda ochilishini sizga aytmaydi. Yorliqlar protokollarni emas, joylashtirish rollarini tavsiflaydi, rollar esa har tomonga bir-birining ustiga tushadi. Dizayn ko'rigida tunnelni tugatuvchi qurilma, uning atrofidagi nazorat va ochilgan so'rov bosib o'tadigan yo'l muhim. Shu uchtasidan qaror qiling, va ma'lumotlar varaqasidagi ot endi bahs bo'lmaydi.

Ikki yorliq, bitta qaror

Konsentrator odatda bir vaqtning o'zida ko'p ulanishlarni qabul qilib boshqaradigan markaziy tizimni bildiradi, so'zda ko'lam ishorasi bor. Shlyuz tunnelni orqasidagi tarmoqlarga bog'laydigan oxirgi nuqtaning kengroq atamasi bo'lib, marshrutizator, xavfsizlik devori yoki boshqariladigan xizmatni tavsiflashi mumkin. Hech bir so'z protokol nomini aytmaydi va hech biri muayyan funksiyalar to'plamini va'da qilmaydi. Bitta qurilmani ikki ta'minotchi ikki nom bilan sotishi mumkin, shu sababli terminologiya bahsi hech qachon hal bo'lmaydi.

Yorliqqa mo'ljallangan foydalanish haqidagi ishora sifatida qarang, ortiq emas. Qaror konfiguratsiyada tekshira oladigan funksiyalarga tegishli, risoladagi so'zlarga emas.

Tunnelni haqiqatan tugatuvchi qurilmani toping

Mijoz ulanishini tashqaridan ichkariga kuzatib boring. Nimadir transportni qabul qiladi, nimadir hamkorning haqiqiyligini tasdiqlaydi, nimadir mijozga manzil beradi, nimadir manzilni ruxsatlaydi va nimadir qaytish yo'lini ta'minlaydi. Bu besh funksiya bitta qurilmada yoki beshtasida bo'lishi mumkin, yagona foydali savol esa qaysi qurilma nima qilishidir. Yuqoridagi marshrutizator tashqi paketlarni hech qachon ochmasdan tashishi mumkin, va topologiya chizmasi ko'rib chiquvchini noto'g'ri qurilmani nomlashga undaydigan holat aynan shu.

Tugashni nomzodning o'zida tasdiqlangchizmadan emas. Kutilgan portda tinglayotgan soket va o'rnatilgan holat yozuvi birga tarmoq chizmasidan kuchliroq dalil, ikkalasining yo'qligi esa undan ham kuchliroq.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Mahsulot nomi bilan emas, besh xususiyat bilan qaror qiling

Besh xususiyat nomzodlarni ajratadi va har biriga marketingdan emas, hujjatlardan javob berish mumkin. Bu nashr qaysi VPN rollarini qo'llab-quvvatlaydi, qaysi identifikatsiya manbalaridan foydalana oladi, qanday uzatish doirasiga ruxsat beradi, qancha sig'imga chidaydi va nosozlikda qanday tutadi. Shu beshtasini yozma ravishda so'rang, yorliq qaror uchun ahamiyatsiz bo'ladi.

Sig'im konsentrator yorlig'i eng kuchli ishora qiladigan xususiyat, va u ko'pincha noaniq qoladi. Bir vaqtlilik chegaralari, tunnelga to'g'ri keladigan o'tkazuvchanlik va umumiy o'tkazuvchanlik uch xil son, qurilma birida saxiy, ikkinchisida ziqna bo'lishi mumkin. Yuqori mavjudlik ikki qurilmaning emas, juftlikning xususiyati va u tiklash savoliga tegishli. Ko'lamga ishora qiluvchi yorliq ko'lam spetsifikatsiyasi emas.

Tiklash ayni suhbatning qismi. Tunnelning o'zi buzilgan komponent bo'lganda administrator qurilmaga qanday yetib borishini so'rang, chunki banddan tashqari yo'l aksessuar emas, dizayn qarori.

Yorliqdan oldin dalilni tekshiring

Joriy xizmatni qo'llab-quvvatlanadigan rollar, identifikatsiya siyosati, uzatish doirasi, sig'im va tiklash xatti-harakati bo'yicha baholash kerak, javoblar esa joylashtiradigan versiyangizga xos bo'lishi lozim. Tarixiy sharh konsentrator so'zi nima uchun borligini tushuntirishi mumkin, ammo joriy nashr nimani qo'llab-quvvatlashini aytolmaydi.Cisco VPN sharhiaynan shu sababdan foydali terminologik kontekst, va unga joriy funksiyalar ro'yxati sifatida munosabatda bo'lish dizayn ko'rigi noto'g'ri ketadigan yo'ldir.

So'ng bitta da'voni boshidan oxirigacha tekshiring. Eng muhim xususiyatni tanlang, masalan tunnelga to'g'ri keladigan o'tkazuvchanlik yoki almashish vaqti, va sonni emas, o'lchash usulini so'rang. Qurilma aslida nimani ko'rsatishini tez mahalliy tekshirish o'rinli boshlanish.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linuxda birinchi qator xavfsizlik assotsiatsiyalarini sanaydi, tunnelda odatda ikkitasi bo'ladi, har bir yo'nalish uchun bittasi, shuning uchun tunnel da'vosi bilan solishtirishdan oldin sonni ikkiga bo'ling. strongSwan xostida ikkinchi qator tunnellarni bevosita nomlaydi. Soketlarni sanash buni almashtirmaydi: IPsec NAT-T barcha tunnellar uchun umumiy bitta UDP 4500 soketini saqlaydi, shuning uchun o'sha portda soketlarni sanash qancha tunnel bo'lsa ham nol yoki bir beradi. Hech bir qator o'tkazuvchanlik o'lchovi emas va hech biri yuk ostidagi xatti-harakatni oldindan aytmaydi. Ular sizga so'rash kerak bo'lgan birlikni beradi, usulni tavsiflay oladigan ta'minotchida spetsifikatsiya bor, tavsiflay olmaydiganida risola bor.

Yo'lni yozib qo'ying, yorliqlar ahamiyatli bo'lmaydi

Arxitekturani egalari bilan funksiyalar ro'yxati sifatida tavsiflang: tugash, autentifikatsiya, manzil taqsimoti, ruxsat, qaytish marshrutlash, jurnal va tiklash. Bu tavsif mahsulot nomi o'zgarishi, ta'minotchi almashinuvi va sotib olinishga bardosh beradi, ularning hech biri chizmangizni yangilamaydi.

Har chorakda uni haqiqiy mijoz sessiyasi bilan solishtirib ko'rib chiqing, chunki hech kim chizmani tahrirlamasdan ham funksiya joyini o'zgartirishi mumkin. Yorliqlar o'zgarishda davom etadi, egalar ro'yxati esa tarmoqni haqiqatan tushuntiradigan narsa bo'lib qoladi.