वीपीएन ऑफ क्लाउड होस्टिंग / समर्पित सर्वर वातावरण, IPSec सुरंगों बनाम सिनस


9

मैं क्लाउड होस्टिंग वातावरण के लिए वर्चुअल प्राइवेट नेटवर्क सेटअप तैयार करने की प्रक्रिया में हूं। हमारी आवश्यकताओं को देखते हुए मैं वास्तव में इसे समर्पित सर्वर वातावरण से अलग नहीं देखता। यह विचार यह है कि हम ग्राहकों को यह सुनिश्चित करने की अनुमति देना चाहते हैं कि उनके उपयोगकर्ता वीपीएन का उपयोग करके विशिष्ट आभासी मशीनों या समर्पित सर्वर से कनेक्ट हों, जो सहायक एन्क्रिप्शन प्रदान कर सकते हैं (उदाहरण के लिए ग्राहक नेटवर्क पर वापस प्रस्तुत प्रिंट नौकरियों के लिए)।

हम IPSec (ESP और AH), और निश्चित रूप से SSH सुरंगों की मेजबानी करने के लिए मेजबान का समर्थन कर रहे हैं, लेकिन इनमें से कोई भी वास्तव में वीपीएन एडेप्टर का उपयोग करने की क्षमता प्रदान नहीं करता है। हम इसके परिणामस्वरूप कम से कम कुछ को जोड़ने पर विचार कर रहे हैं, लेकिन चूंकि अंतरिक्ष एक प्रीमियम पर है, हम इनमें से एक या दो से अधिक पर मानकीकरण करना चाहते हैं (एक बेहतर होगा):

  1. वर्चुअल या समर्पित होस्ट पर IPSec सुरंग समर्थन
  2. Tinc
  3. PPTP

क्योंकि बैकअप लेने वाले हमारे सर्वर आदि अलग-अलग डेटा केंद्रों में हो सकते हैं, इसलिए हम अपने वीपीएन दृष्टिकोण का फिर से उपयोग करना पसंद करेंगे। यह PPTP बाहर शासन करने के लिए प्रतीत होता है। मेरी वर्तमान सोच यह है कि IPSec बेहतर होने की संभावना है क्योंकि हम मानक वीपीएन एडेप्टर का उपयोग कर सकते हैं, लेकिन राउटिंग सेट करना (ग्राहकों की आवश्यकताओं के आधार पर) काफी अधिक कठिन होने की संभावना है, यही कारण है कि हम भी tinc को देख रहे हैं।

इन दोनों में से कौन बेहतर है? क्या मेरा डर है कि रूटिंग प्रबंधन IPSec के साथ एक गंभीर सिरदर्द होने की संभावना है जो अनुचित है? क्या इसके आसपास कोई आसान तरीका है? क्या टिंच के बारे में अन्य गोटेक हैं जो मुझे याद आ रहे हैं (यानी एक अलग क्लाइंट की आवश्यकता के अलावा)?

@ विंटरम्यूट के उत्तर के जवाब में अपडेट करें :

हां, यह सवाल सर्वर के नजरिए से है। कारण यह है कि ये क्लाइंट के नेटवर्क से प्रभावी रूप से डिस्कनेक्ट किए गए सर्वर हैं। हाँ हमारा लक्षित बाजार SME नेटवर्क है। हां, हम प्रत्येक ग्राहक सर्वर के लिए सार्वजनिक आईपी का उपयोग करने की उम्मीद कर रहे हैं जब तक कि उन्हें कुछ अलग करने की आवश्यकता न हो (और फिर हम बात कर सकते हैं)।

हम जिस समाधान की ओर झुकाव कर रहे हैं वह वह है जहां ग्राहक आईपी सुरंगों को परिभाषित करते हैं और नेटवर्क उन सुरंगों द्वारा सुलभ होते हैं और जहां हम इन्हें अपने स्वयं के प्रबंधन उपकरणों (जो कि विकास के अधीन हैं) के साथ जोड़ते हैं, जो कॉन्फ़िगरेशन परिवर्तन के लिए ग्राहक अनुरोधों को जोड़ते हैं। समस्या यह है कि चूंकि हम vms और सर्वर पर रूटिंग सॉफ़्टवेयर चलाने की संभावना नहीं रखते हैं, इसलिए रूटिंग टेबल को सांख्यिकीय रूप से प्रबंधित करने की आवश्यकता होती है, ताकि कॉन्फ़िगरेशन में गलती करने वाले ग्राहकों को लगेगा कि वीपीएन सही काम नहीं करता है।

यह भी संभावना है कि हम अपने स्वयं के आंतरिक संचालन (बैकअप जैसी चीजों के लिए) के लिए नेटवर्क पर ईएसपी का उपयोग करेंगे। पूरा सेटअप बल्कि जटिल है और इसमें कई अलग-अलग दृष्टिकोण हैं, जो सर्वर-केंद्रित (हमारे क्लाइंट vpn से होस्टेड उदाहरण) से लेकर नेटवर्क-केंद्रित (आंतरिक सामान) तक डेटाबेस-केंद्रित (हमारे टूल) हैं। इसलिए मैं यह नहीं कहूंगा कि यह सवाल हमारे पूरे दृष्टिकोण का प्रतिनिधि है (और सवाल एसई साइटों के एक समूह पर पूछे जा रहे हैं)।

यह वास्तव में प्रश्न को समग्र रूप से प्रभावित नहीं करता है। यह शायद उपयोगी संदर्भ है।

जवाबों:


6

Tinc के बारे में निश्चित नहीं है लेकिन IPSEC लगभग अनिवार्य है। कोई भी गंभीर व्यवसाय पीपीटीपी पर भरोसा नहीं करेगा।

निश्चित नहीं है कि IPSEC रूटिंग को कैसे प्रभावित करता है। एक सुरंग एक सुरंग है जो एन्क्रिप्शन की परवाह किए बिना एक सुरंग है। आप फिर से उन्हीं मुद्दों पर चलेंगे: सुरंग को विभाजित करें या नहीं, ग्राहकों को अवधारणा को समझने के लिए / ओह एक विशेष ग्राहक के लैन आईपी क्लैश के साथ दिखते हैं जिसे आपने उठाया है, वीपीएन पूल।

ऐसा लगता है जैसे आप एसएमई बाज़ार (व्यक्तिगत सर्वर, प्रत्यक्ष लॉगिन आदि) पर लक्ष्य कर रहे हैं ताकि अधिक परिष्कृत समाधानों को लागू किया जा सके, लेकिन मैं वैसे भी दो संभावित सुधारों की सूची दूंगा

  • किसी तरह का वीपीएन कंसंटेटर जो प्रोफाइल की अनुमति देता है। सभी ग्राहक वीपीएन सांद्रता में प्रवेश करते हैं, फिर उनके प्रोफाइल / समूह / जो भी विक्रेता टेम्नोलॉजी पर निर्भर करते हैं, उन्हें प्रोटोकॉल एक्स से आईपी वाई (यानी अपने स्वयं के सर्वर) का उपयोग करने की अनुमति मिलती है।

  • सिस्को ASR1000V वर्चुअल राउटर - प्रत्येक ग्राहक को एक मिलता है, फिर आप डायरेक्ट IPSEC टनल चला सकते हैं (VTI के साथ ताकि रूटिंग आसान दिखे) या यहां तक ​​कि MPLS को भी सीधे ग्राहकों के लिए वापस लाएं ताकि राउटर अपनी टोपोलॉजी में सिर्फ दूसरी ब्रांच के रूप में दिखाई दे, फिर अपने VNIC को आवंटित करें VLANs इत्यादि को अंदर की तरफ एक अच्छा आभासी 'शाखा' मिलता है।

  • उपरोक्त के एक छोटे पैमाने पर संस्करण, हमने इस उद्देश्य के लिए मोनोलॉल का उपयोग किया है (अर्थात प्रत्येक ग्राहक को एक परत 3 वर्चुअल डिवाइस मिलती है जो राउटर / फ़ायरवॉल के रूप में कार्य करता है, वे इस उपकरण में वीपीएन प्राप्त करते हैं और केवल अपने वीएलएएन तक पहुंच प्राप्त करते हैं) , हालांकि तब प्रत्येक राउटर / फ़ायरवॉल को अपने स्वयं के सार्वजनिक आईपी पते की आवश्यकता होती है।

पुन: आपके वर्तमान दृष्टिकोण, आपको एहसास होता है कि प्रत्येक सर्वर को एक सार्वजनिक आईपी की आवश्यकता होती है या आपके पास NAT की एक जटिल और जटिल प्रणाली होती है जहां प्रत्येक ग्राहक के वीपीएन पथ को एक पोर्ट या समान आवंटित किया जाता है।

मैं आपको किसी भी डिज़ाइन / प्रस्ताव को देखने के लिए एक पूर्णकालिक नेटवर्क प्राप्त करने की सलाह दूंगा, ऐसा लगता है कि आप इसे सर्वर पृष्ठभूमि से देख रहे हैं।


2
इसके अलावा यह एक मामूली नाइटपिक की तरह लग सकता है लेकिन, आप किसी अन्य प्रोटोकॉल पर एक पूर्व सुरंग स्थापित किए बिना टीसीपी पोर्ट द्वारा ईएसपी को वापस मैप नहीं कर सकते हैं। ऐसा इसलिए है क्योंकि ईएसपी आईपी स्तर पर काम करता है और इसलिए पोर्ट नंबर तक उसकी पहुंच नहीं है। यूडीपी के ऊपर ईएसपी है जो नैट-टी है लेकिन यह और भी जटिल है। वैसे भी मुझे लगा कि मैं इस संपादन का सुझाव दूंगा।
क्रिस ट्रैवर्स

1

हाँ तुम सही हो। ऐसा लगता है कि जब तक आप वीपीएन संकेंद्रक के माध्यम से एकत्र नहीं करते हैं, तब तक आपको अलग-अलग आईपी से निपटना होगा। TBH सांद्रक शायद सबसे अच्छा शर्त है, आपको सभी वीपीएन कनेक्शन के लिए सिर्फ 1 अतिरिक्त आईपी की आवश्यकता होगी, लेकिन इसके बाहरी इंटरफ़ेस को सार्वजनिक आईपी होस्ट से एक अलग सबनेट / वीएलएएन में निवास करना होगा। मैं इसके साथ जाऊँगा अन्यथा आप प्रत्येक व्यक्ति के सर्वर पर सीधे IPSEC VPN कॉन्फ़िगर कर रहे हैं, क्या बुरा सपना है

हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.