Nega SSL VPN va sayt-sayt VPN bir-biriga qarama-qarshi emas
SSL VPN va sayt-sayt VPN turli o'qlarni tavsiflaydi: kim tarmoqqa qo'shiladi va tunnel qanday quriladi. Ikkalasini birga atash — kategoriya xatosi.
Ikki administratorga bir xil VPNni tasvirlashni so'rang; biri «SSL VPN» deb javob berishi mumkin, ikkinchisi esa «sayt-sayt» deydi, go'yo ikkalasi menyudagi raqobatdosh variantlardek. Bu turli savollarga berilgan javoblar, va ularni alternativalar sifatida ko'rish hal qilib bo'lmaydigan taqqoslashlarni keltirib chiqaradi. O'qlarni alohida tuting, bahsning katta qismi yo'qoladi.
Ikki yorliq, ikki alohida savol
Topologiya kim nimaga qo'shilishini javob beradi. Masofaviy kirish dizayni alohida foydalanuvchilar yoki qurilmalarni shlyuzga ulaydi, odatda har bir foydalanuvchi uchun identifikatsiya va manzillar havzasi bilan. Sayt-sayt dizayni ikki tarmoqni shlyuzlar orqali birlashtiradi, shuning uchun qiziqarli identifikatsiya — hamkor shlyuz, klaviatura oldidagi odam emas. Bular turli operatsion muammolar: manzillarni rejalashtirishdan to tungi soat 2 da kim kirishni bekor qila olishigacha.
Mexanizm tunnel qanday qurilishi va autentifikatsiya qilinishini javob beradi. IKEv2 bilan IPsec, ichida IP tashuvchi TLS asosidagi mahsulot va brauzerga qaragan ilova portali — mexanizm tanlovlari, va har birining o'z muzokaralari, shifr to'plamlari va nosozlik rejimlari bor. Ularning hech biri topologiyani nazarda tutmaydi, topologiya esa mexanizmni tanlamaydi.
Ikki o'qni bitta jadvalga joylang, chalkashlik ko'rinadi, chunki to'rning har bir katagini to'ldirish mumkin. Jadval qila olmaydigan narsa — yetkazib beruvchingiz qaysi kombinatsiyani yuborganini aytish, chunki mahsulot nomlari ikki o'qni bitta marketing iborasiga siqib qo'yadi.
Kategoriya xatosi qayerdan keladi
Yetkazib beruvchilar yillar davomida «SSL VPN»ni «IPsec VPN»ning qarama-qarshisi sifatida sotgan, bu mexanizmlar taqqoslashini topologiya tanloviga o'xshatgan. Bu ibora o'z shartlarida ham yomon eskirgan, chunki bugungi dizaynlar qo'llab-quvvatlanadigan TLS versiyalaridan foydalanadi va SSL nomi asosan mahsulot toifasi sifatida saqlanib qolgan.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Xuddi shu siqilishdan ikki bog'liq afsona kelib chiqadi. Birinchisi — IPsec sayt-sayt degani; IKEv2 mijoz-shlyuz munosabatlari uchun ham loyihalangan, shuning uchun alohida noutbuk IPsec bilan qo'shilishi mumkin. Ikkinchisi — TLS asosidagi mahsulot faqat masofaviy kirishni anglatadi; OpenVPN ikki sayt o'rtasida trafik tashish uchun muntazam qo'llaniladi, va uning TLS ishlatilishi brauzer sessiyasida emas, balki boshqaruv va autentifikatsiya almashinuvida jamlangan.
Har qanday tavsif uchun foydali sinov: bitta so'zni almashtirish ham oxirgi nuqtalarni, ham protokolni o'zgartirsa, gap o'qlarni aralashtiryapti. «SSL VPN sayt-saytga qarshi» bu sinovdan o'tmaydi, chunki birinchi atama mexanizmlar oilasini, ikkinchisi topologiyani nomlaydi.
Joylashtirishni taqqoslash mumkin bo'lgan tarzda tasvirlang
To'rt maydon yozing va ularni to'ldiring: oxirgi nuqtalar, mexanizm, autentifikatsiya va kirish yuzasi. Filial aloqasini ikki nomlangan prefiks o'rtasidagi sertifikat autentifikatsiyasi bilan va foydalanuvchi darajasidagi portalsiz IKEv2 shlyuz juftligi sifatida o'qish mumkin. Masofaviy kirish xizmatini har bir foydalanuvchiga manzil ajratadigan, kirishda ikkinchi omilni talab qiladigan va faqat ichki DNS zonasini e'lon qiladigan TLS asosidagi mijoz sifatida o'qish mumkin.
Bu gaplar mahsulot nomlarida yo'q tarzda taqqoslanadi. Ikki masofaviy kirish dizaynini bir xil foydalanuvchi ish oqimi va bir xil bekor qilish yo'liga qarshi o'lchash mumkin, ikki saytlararo dizaynni esa bir xil prefikslar ro'yxati, trafik siyosati va nosozlik talablariga qarshi. Yorliqlar taqqoslashni tashkil qiladi; uning o'rnini bosmaydi.
Terminologiyaning e'lon qilingan tayanchi ham bor. IETF ning VPN terminologiyasi hujjati masofaviy kirish va sayt-saytni o'z ichiga olgan bir necha xizmat modelini ular quriladigan mexanizmlardan ajratadi, va bu doim yo'qolib borayotgan farqdir.
Mahsulot nomini emas, kelishilgan protokolni o'qing
Qutidagi yorliq ishlab turgan tunnel nimaga kelishganini belgilamaydi. TLS tomonida hamkordan to'g'ridan-to'g'ri so'rang va broshyuradagi versiya o'rniga qo'l siqish ishlab chiqqan protokol versiyasi va shifrini o'qing.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec shlyuzi uchun ekvivalent kuzatuv qo'llanilayotgan IKE va ESP takliflarini xabar qiladigan joriy etishning o'z holat chiqishidan keladi. Qanday bo'lsa ham, muhim jihat bir xil: mexanizm o'qini tirik sessiyadan o'qish kerak, chunki mijoz va shlyuz ikkala administrator kutganidan eskiroq narsaga qadar kelishishi mumkin.
ipsec statusall | grep -E "IKE|ESP"Shundan keyin qoladigan savollar — hech bir yorliq javob bermaydigan savollardir. Qaysi protokol versiyalari hali qabul qilinadi, shlyuzning identifikatsiyasi qanday tekshiriladi, qaysi algoritmlar to'plamiga ruxsat berilgan, kim berilgan foydalanuvchini berilgan resurs uchun ruxsatlantiradi va qurilma yo'qolganda kirishni nima bekor qiladi. Topologiya diagrammasi va mexanizm nomi o'sha ro'yxatning boshlanishi, uning o'rnini bosuvchisi emas.
Shunday ekan, ikki yorliqni saqlang, lekin ularni o'zlari bo'lgan narsa uchun ishlating: qaysi oxirgi nuqtalar ulanadi va tunnel qanday quriladi deb aytishning qisqa yo'li. Biri ikkinchisini istisno qilish uchun ishlatilgan paytda, tavsif hech narsani tavsiflashni to'xtatadi.