- Isang advanced mesh VPN network ang nagkokonekta sa bawat site sa iba pa gamit ang direkta at fault-tolerant na mga IPsec tunnel.
- Ang kombinasyon ng IKE, maayos na pagkakahanay ng mga patakaran ng VPN, at pinagsama-samang mga subnet ay nagpapadali sa pamamahala at nagpapabuti sa seguridad.
- Ang mataas na availability ay pinatitibay ng mga active-active gateway, BGP, at iba't ibang VPN device kapwa on-premises at sa cloud.
- Ang Mesh Wi-Fi, mga pinamamahalaang serbisyo, at mga solusyon tulad ng eero Plus o Fortinet ay kumukumpleto sa isang ligtas at nasusukat na ecosystem.
Kapag lumago at kumalat ang isang kumpanya sa maraming opisina, cloud site, at mga remote worker , ang ligtas at mabilis na pagkonekta sa lahat ay hindi na opsyonal at nagiging kritikal sa negosyo. Ang mga tradisyunal na teknolohiya ng point-to-point VPN ay kulang sa flexibility at fault tolerance, at diyan pumapasok ang advanced mesh VPN.
Ang ganitong uri ng arkitektura ay nagbibigay-daan sa bawat site o pinagmumulan ng trapiko na magtatag ng direktang naka-encrypt na mga tunnel sa lahat ng iba pang lokasyon , na iniiwasan ang mga bottleneck sa iisang hub at nag-aalok ng mataas na availability, pinahusay na performance, at tuluy-tuloy na integrasyon sa mga modernong pamamaraan tulad ng zero trust o hybrid environment (on-premises + cloud). Sa buong artikulong ito, susuriin natin kung paano gumagana ang mga network na ito, ang kanilang mga teknikal na kinakailangan (IPsec, IKE, BGP, mga router, at mga firewall), at kung paano sila umaangkop sa kasalukuyang mga solusyon sa mesh Wi-Fi at mga pinamamahalaang serbisyo.
Ano ang isang advanced mesh VPN network at paano ito naiiba sa ibang mga modelo?
Ang isang advanced mesh VPN ay isang topolohiya kung saan ang bawat site ay nagtatatag ng mga VPN tunnel sa bawat iba pang site , kaya ang komunikasyon sa pagitan ng anumang dalawang punto ay hindi nakasalalay sa pagkakaroon ng third party o pagkilos bilang tagapamagitan. Ang configuration na ito ay kilala rin bilang isang full mesh o decentralized VPN.
Sa halip na isang klasikong disenyo ng hub-and-spoke (lahat ng lokasyon ay nakabitin mula sa isang sentral na hub), ang advanced mesh ay pumipili ng isang distributed architecture , na mainam kapag ang mga resources ay nakakalat sa ilang lokasyon o kapag ninanais ang mga matatag na proseso ng negosyo na patuloy na gumagana kahit na ang isang lokasyon ay may mga problema sa koneksyon.
Sa isang karaniwang senaryo, ang bawat firewall o security device—halimbawa, isang Firebox sa bawat site —ay lumilikha ng mga IPsec tunnel patungo sa iba pa. Kung sakaling mag-down ang corporate office, ang branch office at distribution center ay patuloy na direktang makikipag-ugnayan sa pamamagitan ng VPN, nang hindi dumadaan sa headquarters.
Ang pamamaraang ito ay lubos na akma sa mga estratehiya ng Zero Trust Network , kung saan ang seguridad ay dinisenyo sa pag-aakalang ang anumang bahagi ng network ay maaaring mabigo o makompromiso, at kung saan inuuna ang end-to-end encryption, segmentation, at resilience.
Mga halimbawa ng paggamit: mula sa multi-site enterprise hanggang sa hybrid environment gamit ang cloud
Isang karaniwang gamit para sa isang advanced mesh VPN ay ang isang organisasyon na may maraming lokasyon: halimbawa, isang colocation facility (Colo), isang corporate headquarters (Corp), isang distribution center (Dist), at isang maliit na remote office (RMT). Sa kontekstong ito, ang bawat site ay nangangailangan ng direkta at ligtas na access sa mga resources ng iba.
Sa ganitong uri ng disenyo, maaaring may mga natatanging mapagkukunan sa isa sa mga lokasyon (halimbawa, isang kritikal na ERP sa punong-tanggapan o isang enterprise file server ), kaya mahalaga ang maaasahang koneksyon sa pagitan ng lahat ng mga site . Habang dumarami ang mga malalayong opisina na idinaragdag, mas mahalaga na sinusuportahan ng sistema ang pagdaragdag ng mga bagong node nang hindi muling kino-configure ang lahat.
Kapag ang karamihan sa mga mapagkukunan ay nakapokus sa iisang lokasyon, ang isang klasikong sentralisadong arkitektura ay maaari pa ring magkaroon ng katuturan . Gayunpaman, kung ang data at mga aplikasyon ay ipinamamahagi, o kung may mga proseso ng negosyo na nangangailangan ng direktang komunikasyon sa pagitan ng mga site (halimbawa, patuloy na pag-synchronize sa pagitan ng mga sentro ng logistik), ang isang ganap na pinagsamang network ay nag-aalok ng higit na kakayahang umangkop at pagpapaubaya sa mga pagkakamali.
Isang partikular na karaniwang senaryo ang kombinasyon ng mga on-premise network at ng cloud , halimbawa, sa pamamagitan ng pagkonekta ng mga on-premise network sa Azure sa pamamagitan ng VPN Gateway at paglikha rin ng mga virtual network-to-virtual network (VNet-to-VNet) na koneksyon. Sa mga hybrid na kapaligirang ito, ang mga mesh topology at mga advanced na mekanismo ng redundancy ay susi sa pagtiyak ng pagpapatuloy ng serbisyo.
Mga mahahalagang teknikal na bahagi ng isang advanced na mesh VPN network
Sa likod ng tatak na "mesh VPN" ay naroon ang isang serye ng mga napaka-espesipikong teknikal na bahagi na ginagawang posible ang mahika. Sa pangkalahatan, pinag-uusapan natin ang mga advanced na tampok sa seguridad ng VPN tulad ng IPsec para sa pag-encrypt ng data at IKE (Internet Key Exchange) para sa pagpapalitan ng susi at negosasyon ng mga parameter ng seguridad sa pagitan ng mga endpoint.
Sa isang tipikal na Firebox o iba pang susunod na henerasyon ng configuration ng firewall, ang bawat site ay tumutukoy sa mga branch gateway at tunnel na kumokonekta sa mga network ng iba pang mga site. Halimbawa, sa isang organisasyong may apat na lokasyon, ang bawat site ay magkakaroon ng tatlong branch VPN gateway at tatlong nauugnay na tunnel (isa sa bawat isa sa iba pang mga site).
Karaniwang pinamamahalaan ang configuration sa pamamagitan ng mga partikular na tool (tulad ng Policy Manager sa Fireware), kung saan maaari mong tingnan at isaayos ang parehong branch gateway at branch VPN tunnel , pati na rin ang mga ruta ng tunnel na kinakailangan para makapaglakbay ang trapiko sa pagitan ng mga lokal at malalayong subnet.
Isang napakahalagang detalye sa mga senaryo ng mesh networking ay ang paggamit ng mga pinagsama-samang subnet kapag tumutukoy sa mga ruta ng tunnel sa halip na hiwalay na ilista ang bawat lokal na network. Halimbawa, ang tunnel na "Colo to RMT" ay maaaring tukuyin upang gamitin ang 172.16.0.0/16 subnet upang kumatawan sa lahat ng panloob na network ng Colo (hal., 172.16.1.0 at 172.16.2.0), upang ang isang pares ng mga ruta ng tunnel ay maaaring sumaklaw sa maraming segment sa halip na mangailangan ng maraming tunnel.
Malaki ang nababawasan nito sa bilang ng mga ruta ng tunnel na kinakailangan, lalo na sa maliliit na opisina na kailangan lamang maabot ang isang limitadong hanay ng mga malayuang subnet. Gayunpaman, kung kinakailangan ang napakapinong pagkontrol sa trapiko , maaaring tukuyin ang mga indibidwal na network, sa kapalit ng mas maraming gawain sa pag-configure at administrasyon.
Mga kinakailangan sa imprastraktura: bandwidth, hardware, at pagiging maaasahan
Ang isang advanced mesh VPN ay, ayon sa kahulugan, mas mahirap kaysa sa isang simpleng pag-setup. Ang bawat tunnel ay may kasamang mga proseso ng encryption at encapsulation , kaya ang magagamit na bandwidth ng VPN ay palaging medyo mas mababa kaysa sa pisikal na bilis ng link.
Samakatuwid, dapat tiyakin ng mga kumpanya na ang mga ugnayan sa pagitan ng mga site (fiber, MPLS, high-capacity internet, atbp.) ay may sapat na bandwidth upang suportahan ang naka-encrypt na trapiko na dadaloy sa mga tunnel. Ito ay lalong mahalaga sa mga lokasyon na naglalaman ng mga natatanging mapagkukunan o nagsisilbing mga sentro ng komunikasyon.
Ang uri ng security device na naka-deploy sa bawat punto (halimbawa, isang Firebox na angkop para sa laki ng site; sumangguni sa mga manwal at datasheet ng router ) ay pantay na mahalaga. Ang bawat modelo ay nag-aalok ng isang tiyak na maximum na bilis ng VPN at sabay na kapasidad ng tunnel, kaya ang pagpapaliit ng laki ng kagamitang ito ay hindi ipinapayong kung nais maiwasan ang mga bottleneck.
Sa praktikal na termino, ang bilang ng mga VPN tunnel ay karaniwang nakadepende sa bilang ng mga lokal at malalayong network na ikokonekta (gaya ng tinukoy sa mga ruta ng tunnel). Sa isang tipikal na opisina, ang kalkulasyon ay tinatayang ang bilang ng mga lokal na network na pinarami sa bilang ng mga malalayong network, maliban kung ginamit ang pinagsama-samang mga subnet.
Mahalaga rin na matiyak ang maaasahang koneksyon sa mga site na nagho-host ng mga kritikal na serbisyo. Bagama't kinukunsinti ng mesh architecture ang mga pagkabigo sa isang nakahiwalay na node, kung ang node na iyon ay naglalaman ng mahahalagang aplikasyon o data, ang anumang problema sa koneksyon sa puntong iyon ay magreresulta sa mga pagkawala ng serbisyo para sa iba pang mga site.
Mga profile ng IPsec, IKE at seguridad: ang puso ng VPN
Ang isang advanced mesh VPN network ay umaasa, sa antas ng protocol, sa kombinasyon ng IPsec para sa data encryption at IKE (Internet Key Exchange) para sa key exchange at negosasyon ng mga parameter ng seguridad sa pagitan ng mga endpoint.
Ang IKE ay ang protocol na nagtatatag ng Security Association (SA) sa pagitan ng dalawang punto; ibig sabihin, ang mutual na kasunduan kung paano ie-encrypt at ia-authenticate ang trapiko. Para gumana nang maaasahan ang isang VPN, ang mga patakaran ng IKE ng magkabilang panig ay dapat tumugma sa lahat ng kaugnay na parameter (paraan ng pagpapatotoo, mga algorithm ng pag-encrypt at pagpapatotoo, mga grupo ng Diffie-Hellman, time-to-live, atbp.).
Sa mga router tulad ng Cisco RV110W, isang patakaran ng IKE ang tinukoy na nagpapahiwatig, bukod sa iba pang mga bagay, ng exchange mode (primary o aggressive), ang encryption algorithm (DES, 3DES, AES-128, AES-192, AES-256), ang authentication algorithm (MD5, SHA-1, SHA2-256), ang pre-shared key, at ang Diffie-Hellman group (halimbawa, group 1 na may 768 bits, group 2 na may 1024 bits, o group 5 na may 1536 bits).
Bukod sa patakaran ng IKE, may mga patakaran ng VPN na tumutukoy kung anong trapiko ang pinoprotektahan sa pamamagitan ng tunnel, kung anong mga network identifier ang ginagamit para sa mga lokal at malalayong dulo (iisang IP address o subnet), at kung ang patakaran ay awtomatiko (na may negosasyon ng mga key at parameter ng IKE) o manu-mano (lahat ng key at SPI ay manu-manong na-configure sa magkabilang dulo).
Tinutukoy ng mga manu-manong patakaran ang mga hexadecimal na halaga para sa papasok at papalabas na SPI, mga encryption key (Key-In at Key-Out) at mga integrity algorithm (MD5, SHA1, SHA2-256), na tinitiyak na ang remote device ay gumagamit ng eksaktong parehong mga halaga upang maitatag nang tama ang tunnel.
Mga advanced na profile: “Kinakailangan ang IPsec”, “Opsyonal ang IPsec” at malinaw na trapiko
Sa mas sopistikadong mga kapaligiran ng mesh network, bilang karagdagan sa klasikong configuration ng mga tunnel sa pagitan ng mga site, ang mga advanced na profile ng koneksyon ay kadalasang nalilikha na tumutukoy kung kailan mandatory ang paggamit ng IPsec at kung kailan pinapayagan ang malinaw na trapiko.
Halimbawa, maaaring tukuyin ang tatlong profile: isa kung saan mandatory ang IPsec (tanging naka-encrypt na trapiko lamang ang pinapayagan), isa pa kung saan opsyonal ang pag-encrypt (tinatanggap ang naka-encrypt o plaintext na trapiko depende sa destinasyon), at pangatlo na nagpapahintulot lamang sa hindi naka-encrypt na trapiko . Sa mga sistemang nakabatay sa ipsec.conf, ang mga profile na ito ay inilalarawan gamit ang mga connection block (conn) na tumutukoy sa uri ng koneksyon (passthrough o transport), ang authentication mode (hal., rsasig na may mga sertipiko), ang mga parameter ng shunt kung sakaling magkaroon ng pagkabigo (drop o passthrough), at mga sanggunian sa mga sertipiko at susi ng RSA.
Ang isang tipikal na halimbawa ay ang pagkakaroon ng passthrough connection na walang authentication para sa profile na "No IPsec", isa pang transport connection na may RSA signature authentication at failure termination policies para sa "IPsec required", at isang ikatlong transport connection na may RSA signatures ngunit may permissive behavior (passthrough) sakaling magkaroon ng failure para sa "IPsec optional".
Ang pagsasama-sama ng mga profile na ito sa mga naaangkop na ruta ay nagbibigay-daan para sa pagpapatupad ng mga adaptive security strategies , kung saan ang ilang kritikal na daloy ay dapat palaging naka-encrypt, habang ang iba ay maaaring kumalat sa plain text sa mga high-trust internal network, o oportunistang gamitin ang IPsec kapag pinapayagan ito ng parehong panig.
Detalyadong pag-configure ng patakaran ng VPN
Para sa bawat patakaran ng VPN, bilang karagdagan sa mga parameter ng IKE, kinakailangang tukuyin kung aling trapiko ang isasama sa tunnel . Ang mga network ng pinagmulan at patutunguhan ay karaniwang pinipili gamit ang mga identifier tulad ng "Single" (iisang host) o "Subnet".
Kung "Single" ang napili, ang patakaran ay nalalapat sa isang partikular na IP address (halimbawa, isang partikular na server). Kung ang isang "Subnet" ay tinukoy, ang patakaran ay sumasaklaw sa isang hanay ng mga address na tinutukoy ng kumbinasyon ng network IP at subnet mask ; ang mga device ay pinoprotektahan ng VPN kapag ang kanilang IP ay nasa loob ng hanay na iyon.
Sa kaso ng mga automated na patakaran , bilang karagdagan sa lifetime ng Security Association (sa segundo), pinipili ang mga algorithm ng encryption at integridad, at ang Perfect Forward Secrecy (PFS) ay opsyonal na pinagana gamit ang isang karagdagang Diffie-Hellman group. Nagdaragdag ito ng isang layer ng seguridad sa pamamagitan ng pagbuo ng mga bagong session key na hindi lamang umaasa sa master key.
Sa anumang senaryo, dapat tiyakin na ang mga lifetime, encryption algorithm, integrity algorithm, PFS group, at maging ang napiling IKE policy ay magkatugma sa magkabilang dulo ng tunnel. Kung hindi, mabibigo ang negosasyon, o magba-crash ang tunnel kapag natapos na ang SA at susubukang muling makipagnegosasyon.
Ang mga propesyonal na router ay kadalasang nag-aalok ng mga karagdagang tampok, tulad ng Dead Peer Detection (DPD) , na nagmomonitor kung aktibo pa rin ang isang peer at nag-aalis ng mga hindi na ginagamit na entry upang magbakante ng mga resource. Karaniwang pinapayagan ka ng DPD na isaayos ang dalas ng mga pagsusuri at ang timeout bago ituring na "patay" ang isang peer.
Mataas na availability sa cloud: Azure VPN Gateway sa advanced mesh
Kapag ang isang advanced mesh VPN ay nagkokonekta ng mga on-premise network sa Azure infrastructure , ang Azure VPN Gateway at ang iba't ibang opsyon nito sa redundancy ay ginagamit. Bilang default, ang bawat Azure VPN Gateway instance ay binubuo ng dalawang instance sa isang active-standby configuration.
Kung sakaling magkaroon ng planadong maintenance o mga hindi inaasahang insidente, kung ang aktibong instance ay maging hindi magagamit, ang standby instance ang mamamahala, at ang site-to-site (S2S) o virtual network-to-virtual network (V2N) tunnels ay awtomatikong ibabalik. Para sa mga planadong pagkawala ng kuryente, ang pagbawi ay karaniwang tumatagal ng 10-15 segundo; para sa mga hindi planadong pagkabigo, maaari itong tumagal ng 1-3 minuto. Para sa mga koneksyon ng point-to-site (P2S) VPN client, ang mga session ay ididiskonekta, at ang mga user ay dapat muling kumonekta.
Upang mapabuti ang pagkakaroon ng mga koneksyon sa pagitan ng lokal na network at Azure, maaaring pumili ng ilang mga scheme: paggamit ng maraming lokal na VPN device (halimbawa, pagkakaroon ng dalawang VPN na naka-install ), pag-configure ng mga VPN Gateway instance sa active-active mode sa Azure, o pagsasama-sama ng pareho para sa double redundancy na perpektong akma sa isang mesh topology.
Sa maraming on-premises na VPN device, maraming S2S na koneksyon ang nalilikha mula sa bawat device patungo sa Azure gateway, na tumutukoy sa isang natatanging on-premises na network gateway sa bawat device, bawat isa ay may natatanging pampublikong IP address at BGP peer address . Gamit ang BGP at Equal Cost Per Mechanism (ECMP), ang trapiko ay ipinamamahagi sa maraming aktibong tunnel nang parallel.
Sa active-active mode ng Azure VPN Gateway, ang bawat gateway instance ay may kanya-kanyang pampublikong IP address at nagtatatag ng S2S IPsec/IKE tunnel papunta sa on-premises VPN device, na bumubuo ng dalawang tunnel na talagang kabilang sa iisang koneksyon. Mula sa Azure, ang parehong tunnel ay ginagamit nang sabay-sabay, na nagpapataas ng availability at nagbibigay-daan sa mas mahusay na distribusyon ng trapiko.
Kumpletong mesh sa pagitan ng on-premises at Azure: dobleng redundancy
Ang pinakamatibay na opsyon para sa isang advanced mesh VPN na pinagsasama ang cloud at on-premises na mga kapaligiran ay ang pag-configure ng dual redundancy : mga active-active gateway sa Azure at, nang sabay-sabay, maraming VPN device sa on-premises network. Ang resulta ay isang uri ng kumpletong mesh na may apat na IPsec tunnel sa pagitan ng Azure virtual network at ng on-premises na kapaligiran.
Sa disenyong ito, lahat ng gateway at tunnel ay pinananatiling aktibo sa panig ng Azure, at ang trapiko ay ipinamamahagi sa apat na link . Ang bawat daloy ng TCP/UDP ay karaniwang sumusunod sa parehong tunnel mula sa pananaw ng Azure, ngunit ang pinagsamang daloy ay ipinamamahagi sa apat, na bahagyang nagpapabuti sa pangkalahatang pagganap at, higit sa lahat, nagbibigay ng napakataas na fault tolerance.
Upang maipatupad ang topolohiyang ito, kinakailangan ang dalawang lokal na gateway ng network at dalawang magkaibang koneksyon para sa dalawang lokal na aparato ng VPN, na palaging sinusuportahan ng BGP upang payagan ang sabay-sabay na koneksyon sa parehong on-premise na network sa pamamagitan ng maraming koneksyon.
Ang parehong pamamaraan ay maaaring ilapat sa virtual network-to-virtual network connectivity sa loob ng Azure: ang mga active-active gateway ay ginagawa sa bawat virtual network at nakakonekta sa isa't isa upang makakuha rin ng apat na aktibong tunnel sa pagitan ng mga VNet. Sa kasong ito, opsyonal ang BGP, maliban kung kailangang iruta ang trapiko ng transit sa pamamagitan ng koneksyon na iyon.
Sa ganitong uri ng arkitektura, ang mga cloud network ay hindi na lamang mga satellite ng lokal na network kundi nagiging ganap na mga node sa VPN mesh , na nagbibigay ng malaking kakayahang umangkop kapag naglilipat ng mga workload, nagbabalanse ng mga aplikasyon, at nagdidisenyo ng mga plano sa pagpapatuloy ng negosyo.
Mesh Wi-Fi at VPN: isang perpektong kombinasyon sa corporate network
Ang konsepto ng "mesh" ay hindi limitado sa mga VPN. Sa larangan ng Wi-Fi, ipinakita ng mga solusyon tulad ng eero at ng teknolohiyang TrueMesh nito na ang paggamit ng maraming magkakaugnay na access point ay isang lubos na mabisang paraan upang maalis ang mga dead zone, mabawasan ang mga dropout, at mabawasan ang kinatatakutang buffering sa mga kapaligiran ng bahay at maliliit na opisina.
Sa halip na isang Wi-Fi router lang ang sumasakop sa buong bahay o opisina, ang mesh Wi-Fi network ay namamahagi ng maraming eero device sa buong espasyo, na nagbibigay-daan sa mga kliyente na laging kumonekta sa pinakamalapit at pinaka-stable na access point . Matalinong nire-redirect ng TrueMesh ang trapiko batay sa mga salik tulad ng pisikal na layout ng mga node, interference mula sa mga kalapit na network, at ang dami ng mga konektadong device.
Depende sa paggamit ng internet, iba't ibang modelo ang inirerekomenda: ang eero 6+ bilang isang abot-kayang gigabit system, ang eero Pro 6E para sa mga koneksyon hanggang 2 Gbps at maraming sabay-sabay na device, o ang eero Max 7 para sa mga advanced na user na may WiFi 7, daan-daang device at mga pangangailangan sa maximum performance, parehong wired at wireless.
Ang lahat ng mga device na ito ay tugma sa mga pangunahing internet provider at sa isa't isa, na nagbibigay-daan para sa unti-unting pagpapalawak o pag-upgrade ng Wi-Fi network . Bukod pa rito, nakakatanggap ang mga ito ng mga awtomatikong update ng software na may mga security patch at mga pagpapahusay sa feature—isang mahalagang punto kapag ang Wi-Fi ang pangunahing access point para sa isang corporate VPN.
Digital na tahanan, seguridad at sentralisadong pamamahala gamit ang eero
Higit pa sa pangunahing koneksyon, isinasama ng mga modernong sistema ng eero ang mga tampok ng smart home dahil sa pagiging tugma sa Thread, Zigbee, at Matter (gamit ang Alexa bilang controller). Sa pagsasagawa, nangangahulugan ito na maraming smart home device ang maaaring direktang kumonekta sa eero network nang hindi nangangailangan ng karagdagang mga hub.
Pinapayagan ka ng eero app na i-configure ang isang Thread device, halimbawa, sa pamamagitan ng pag-enable sa opsyon sa Network Settings → Thread , o para magamit ang Zigbee hub sa pamamagitan ng pagsasama ng iyong eero at Amazon account sa ilalim ng seksyong Amazon Connected Home. Kapag tapos na ito, maaari ka nang magdagdag ng mga compatible na device gamit ang Alexa app o anumang Echo speaker sa network.
Para sa pang-araw-araw na pamamahala, ginagawang madali ng eero ang pangangasiwa ng device: maaari kang magtalaga ng mga device sa mga indibidwal na profile (para pangkatin, halimbawa, ang mga device ng bawat miyembro ng pamilya), maglapat ng mga iskedyul ng pag-pause ng wifi (napakapakinabangan para sa paglilimita sa paggamit sa ilang partikular na oras) at madaling palitan ang pangalan ng bawat device upang matukoy ang mga ito nang hindi nababaliw.
Posible ring paganahin ang mga notification upang makatanggap ng mga alerto kapag may bagong device na sumali sa network, at lumikha ng hiwalay na guest network na may sarili nitong pangalan at password, sa gayon ay pinapanatiling mas nakahiwalay at kontrolado ang pangunahing network.
Kasama ng mga serbisyo ng VPN—tulad ng VPN access na kasama sa pamamagitan ng Guardian sa loob ng eero Plus subscription—may karagdagang layer ng encryption ang user kapag kumokonekta mula sa kanilang mobile phone o tablet papunta sa mga external network, na perpektong bumabagay sa mas maraming corporate mesh VPN.
Mga karagdagang serbisyo sa seguridad: eero Plus at VPN para sa mga end user
Ang subscription sa eero Plus ay nagdaragdag ng iba't ibang advanced na feature ng seguridad na nakatuon sa mga end user at maliliit na organisasyon: pinahusay na proteksyon, parental controls, backup internet , at integrasyon sa tatlong kilalang application: 1Password (password manager), Malwarebytes (proteksyon laban sa malware), at Guardian (serbisyo ng VPN).
Gamit ang mga content filter, maaaring tukuyin ng mga magulang ang mga paghihigpit ayon sa kategorya—pamimili, social media, mga chat at pagmemensahe, streaming—upang ang mga partikular na device ay magkaroon lamang ng access sa naaangkop na nilalaman. Ang ganitong uri ng kontrol ay gumagana nang mahusay lalo na sa mga kapaligiran kung saan ang Wi-Fi mesh network at ang corporate VPN ay nagbabahagi ng iisang imprastraktura sa bahay.
Ang tampok na Backup Internet ay nagbibigay-daan sa eero na awtomatikong kumonekta sa isang mobile hotspot o iba pang available na network kapag ang pangunahing provider ay down, at maaari mong piliin kung aling mga device ang mananatiling konektado habang may outage upang ma-optimize ang available na bandwidth.
Sa larangan ng personal na seguridad, ang integrasyon sa Malwarebytes ay nag-aalok ng proteksyon laban sa mga online na banta sa hanggang tatlong compatible na device, habang pinapadali ng 1Password ang ligtas na pamamahala at pag-iimbak ng mga kredensyal , na mahalaga kapag nakikipagtulungan sa corporate VPN access, mga administration panel, at mga serbisyo sa cloud.
Panghuli, nag-aalok ang Guardian ng end-user-oriented na VPN , na direktang maa-access mula sa eero app, na nag-e-encrypt ng trapiko mula sa device (mobile o tablet) patungo sa internet, mainam para sa mga koneksyon mula sa mga pampubliko o hindi mapagkakatiwalaang Wi-Fi network. Bagama't hindi pinapalitan ng ganitong uri ng VPN ang isang advanced na corporate mesh network, mahusay nitong napupunan ang proteksyon ng end-user.
Site-to-site VPN: mga haligi para sa isang matibay na disenyo
Sa konteksto ng korporasyon, ang bawat advanced mesh VPN network ay pangunahing binuo mula sa maraming site-to-site VPN . Para maging matatag at madaling patakbuhin ang mga koneksyong ito nang malawakan, mahalagang pangalagaan ang limang pangunahing bahagi.
Ang una ay ang seguridad sa teknolohiya sa mga kumpanya : paggamit ng matatag na mga algorithm ng kriptograpiko (AES na may 128/192/256 bit key, SHA-2), wastong pamamahala ng susi, PFS, DPD at mahusay na mga kasanayan sa pagpapatibay sa mga perimeter device.
Ang pangalawang haligi ay kadalian ng pagpapatakbo : mga pare-parehong patakaran sa iba't ibang lokasyon, magagamit muli na mga template ng configuration, sentralisadong mga tool sa pamamahala at pagsubaybay, at malinaw na mga proseso para sa pagdaragdag ng mga bagong lokasyon o pagbabago ng mga parameter.
Pangatlo ay ang simple at ligtas na scalability , na nangangahulugang kakayahang magdagdag ng mga lokasyon nang hindi muling idisenyo ang buong topolohiya, sinasamantala ang mga pamamaraan tulad ng subnet aggregation, ang paggamit ng BGP para sa dynamic routing, at deployment automation.
Ang huling dalawang haligi ay ang business continuity —tinitiyak na ang isang node o link failure ay hindi mag-iiwan sa mga site na nakahiwalay—at ang flexible na implementasyon , ibig sabihin, ang kakayahang i-deploy ang VPN sa iba't ibang kapaligiran (on-premise, public cloud, multiple clouds) habang pinapanatili ang pare-parehong mga patakaran sa seguridad.
Mga pinamamahalaang serbisyo ng VPN at mga nakalaang produkto ng seguridad
Para sa maraming organisasyon, lalo na sa mga walang malaking in-house networking at security team, ang paggamit ng mga managed VPN services ay maaaring maging isang napaka-makatwirang desisyon. Ang mga serbisyong ito ay nag-o-outsource ng ilan sa mga komplikasyon: disenyo ng topology, pagpili ng hardware, configuration ng patakaran ng IPsec/IKE, 24/7 na pagsubaybay, pagtugon sa insidente, at patuloy na pagpapanatili.
Ang mga security vendor tulad ng Fortinet ay nag-aalok ng mga nakalaang produkto at serbisyo para sa pagbuo at pamamahala ng mga site-to-site na VPN at mga advanced na mesh network, na isinasama ang mga firewall, SD-WAN, deep packet inspection, web filtering, at iba pang mga layer ng proteksyon. Sa ganitong paraan, ang VPN ay hindi na isang simpleng "encrypted tunnel" at nagiging isang bahagi ng isang layered security architecture.
Sa malalaking network, na may dose-dosenang o daan-daang site, ang mga solusyong ito ay lubhang nakakabawas sa operational load: pinapayagan ka nitong tukuyin ang mga pandaigdigang patakaran , i-deploy ang mga ito sa maraming device, pamahalaan ang mga sertipiko, mga update sa firmware at mga pagbabago sa configuration sa isang maayos na paraan, at makakuha ng sentralisadong visibility ng status ng lahat ng tunnel.
Pipili ka man para sa in-house management o isang outsourced service, ang susi ay ang mesh VPN ay nakakasabay sa organisasyon: sumusuporta sa mga bagong lokasyon, mga bagong serbisyo sa cloud, pagtaas ng trapiko, at mga pagbabago sa mga pangangailangan sa seguridad nang hindi nagiging hadlang sa negosyo.
Ang pagdidisenyo at pagpapatakbo ng isang advanced mesh VPN ay kinabibilangan ng pagsasama-sama ng isang distributed architecture sa maraming site, maingat na IPsec/IKE configuration, mga high-availability na estratehiya (parehong on-premises at sa cloud), isang maaasahang pundasyon ng mesh Wi-Fi, at, sa maraming pagkakataon, karagdagang mga serbisyo sa seguridad at pamamahala. Sa pamamagitan ng pagsasama ng lahat ng mga elementong ito—mula sa mga profile na "kinakailangan/opsyonal" ng IPsec at active-active redundancy hanggang sa BGP, mga solusyon tulad ng eero Plus, at mga propesyonal na firewall platform—ang mga organisasyon ay maaaring bumuo ng mga secure, scalable, at fault-tolerant na network na nagkokonekta sa mga opisina, tahanan, at cloud nang hindi isinasakripisyo ang performance o flexibility.
