Bộ tập trung hay cổng kết nối? Điểm kết thúc VPN nằm ở đâu trên đường đi của bạn

Hai nhà cung cấp có thể gọi cùng một thiết bị là bộ tập trung và cổng kết nối, và không từ nào cho bạn biết lưu lượng được giải mã ở đâu. Nhãn mô tả vai trò triển khai chứ không phải giao thức, và các vai trò chồng lấn theo mọi hướng. Điều quan trọng trong một buổi đánh giá thiết kế là thiết bị kết thúc đường hầm, các kiểm soát quanh nó và đường đi của một yêu cầu đã giải mã. Hãy quyết định từ ba điều đó, và danh từ trên bảng dữ liệu không còn là tranh luận nữa.

Hai nhãn, một quyết định

Bộ tập trung thường có nghĩa là hệ thống trung tâm nhận và quản lý nhiều kết nối cùng lúc, và từ này mang hàm ý về quy mô. Cổng kết nối là thuật ngữ rộng hơn cho một điểm cuối nối đường hầm với các mạng phía sau, và nó có thể mô tả bộ định tuyến, tường lửa hoặc dịch vụ được quản lý. Không từ nào nêu tên một giao thức, và không từ nào hứa hẹn một bộ tính năng cụ thể. Cùng một thiết bị có thể được hai nhà cung cấp bán dưới cả hai tên, và đó là lý do cuộc tranh luận thuật ngữ không bao giờ kết thúc.

Hãy coi nhãn là gợi ý về mục đích sử dụng và không hơn thế. Quyết định thuộc về các chức năng bạn có thể xác minh trong cấu hình, không phải những từ trong tài liệu quảng cáo.

Tìm thiết bị thực sự kết thúc đường hầm

Theo dõi một kết nối của máy khách từ ngoài vào trong. Có thứ chấp nhận vận chuyển, có thứ xác thực đối tác, có thứ gán địa chỉ cho máy khách, có thứ cho phép đích đến và có thứ cung cấp tuyến quay lại. Năm chức năng đó có thể nằm trên một thiết bị hoặc trên năm thiết bị, và câu hỏi hữu ích duy nhất là thiết bị nào làm gì. Một bộ định tuyến phía trên có thể mang các gói bên ngoài mà không bao giờ giải mã chúng, và đó chính là trường hợp sơ đồ cấu trúc khiến người đánh giá gọi sai thiết bị.

Xác nhận việc kết thúc ngay trên ứng viênchứ không phải từ bản vẽ. Một ổ cắm đang lắng nghe trên cổng mong đợi cùng với một mục trạng thái đã thiết lập là bằng chứng mạnh hơn sơ đồ mạng, và việc không có cả hai còn mạnh hơn nữa.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Quyết định theo năm thuộc tính, không theo tên sản phẩm

Năm thuộc tính phân biệt các ứng viên, và mỗi thuộc tính có thể được trả lời từ tài liệu chứ không phải tiếp thị. Bản phát hành này hỗ trợ những vai trò VPN nào, có thể dùng những nguồn danh tính nào, cho phép phạm vi chuyển tiếp nào, chịu được bao nhiêu dung lượng và hành xử thế nào khi có sự cố. Hãy yêu cầu năm điều đó bằng văn bản, và nhãn trở nên không liên quan đến quyết định.

Dung lượng là thuộc tính mà nhãn bộ tập trung gợi ý mạnh nhất, và cũng là thuộc tính thường bị bỏ mơ hồ nhất. Giới hạn đồng thời, thông lượng mỗi đường hầm và tổng thông lượng là ba con số khác nhau, và một thiết bị có thể rộng rãi ở mặt này mà keo kiệt ở mặt kia. Tính sẵn sàng cao là thuộc tính của cặp chứ không của riêng thiết bị nào, và nó thuộc về câu hỏi khôi phục. Một nhãn gợi ý quy mô không phải là đặc tả của quy mô.

Khôi phục thuộc cùng cuộc trao đổi đó. Hãy hỏi quản trị viên tiếp cận thiết bị thế nào khi chính đường hầm là thành phần hỏng, vì một đường ngoài băng là quyết định thiết kế chứ không phải phụ kiện.

Kiểm tra bằng chứng trước nhãn

Một dịch vụ hiện tại nên được đánh giá theo vai trò được hỗ trợ, chính sách danh tính, phạm vi chuyển tiếp, dung lượng và hành vi khôi phục, với câu trả lời riêng cho phiên bản bạn sẽ triển khai. Một tổng quan lịch sử có thể giải thích vì sao tồn tại từ bộ tập trung, nhưng nó không thể cho bạn biết bản phát hành hiện tại hỗ trợ gì.Tổng quan Cisco VPNlà bối cảnh thuật ngữ hữu ích chính vì lý do đó, và coi nó như một danh sách tính năng hiện tại chính là cách một buổi đánh giá thiết kế đi sai.

Sau đó xác minh một tuyên bố từ đầu đến cuối. Chọn thuộc tính quan trọng nhất, như thông lượng mỗi đường hầm hoặc thời gian chuyển đổi, và yêu cầu phương pháp đo chứ không phải con số. Một kiểm tra cục bộ nhanh về những gì thiết bị thực sự hiển thị là khởi đầu hợp lý.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Trên Linux dòng đầu tiên đếm các liên kết bảo mật, và một đường hầm thường có hai, một cho mỗi hướng, nên hãy chia đôi số đó trước khi so với một tuyên bố về đường hầm. Trên máy chủ strongSwan dòng thứ hai nêu tên các đường hầm trực tiếp. Đếm ổ cắm không thay thế được điều đó: IPsec NAT-T giữ một ổ cắm UDP 4500 duy nhất được mọi đường hầm chia sẻ, nên đếm ổ cắm trên cổng đó cho ra không hoặc một, dù có bao nhiêu đường hầm. Không dòng nào là phép đo thông lượng, và không dòng nào dự đoán hành vi dưới tải. Chúng cho bạn đơn vị để hỏi, và nhà cung cấp mô tả được phương pháp thì có đặc tả, còn người không làm được thì có tài liệu quảng cáo.

Viết đường đi ra và các nhãn không còn quan trọng

Mô tả kiến trúc như một danh sách chức năng kèm chủ sở hữu: kết thúc, xác thực, cấp địa chỉ, cho phép, định tuyến quay lại, ghi nhật ký và khôi phục. Mô tả đó sống sót qua việc đổi tên sản phẩm, đổi nhà cung cấp và một thương vụ mua lại, và không điều nào trong đó cập nhật sơ đồ của bạn.

Hãy đánh giá lại nó so với một phiên máy khách thật mỗi quý, vì một chức năng có thể di chuyển mà không ai sửa bản vẽ. Các nhãn sẽ tiếp tục thay đổi, và danh sách chủ sở hữu sẽ tiếp tục là thứ thực sự giải thích mạng.