Что такое mesh VPN?
Mesh VPN устроен так, что узлы сети (устройства, серверы или целые площадки) соединяются друг с другом напрямую. Они образуют сеть шифрованных туннелей, а не сходятся к одному центральному серверу. Координирующий сервис помогает узлам найти друг друга и распространяет политики, но сам трафик идёт peer-to-peer по кратчайшему пути между любыми двумя конечными точками.
Mesh VPN соединяет множество устройств или площадок так, чтобы каждое могло связаться с любым другим напрямую по шифрованным туннелям, а не гонять весь трафик через один центральный сервер.
Что определяет mesh VPN
- 01
Связность «многие ко многим»: каждый узел может связаться с любым другим напрямую, в отличие от звезды, где всё проходит через один концентратор.
- 02
Плоскость управления (координатор или контроллер) отвечает за обнаружение, идентификацию и политики, но не стоит на пути данных и не пропускает через себя каждый пакет.
- 03
Трафик между двумя узлами идёт прямым шифрованным путём. Задержка остаётся низкой, а центральный концентратор перестаёт быть узким местом и единой точкой отказа.
- 04
Поскольку центрального узкого места нет, mesh-сеть с ростом числа узлов масштабируется и восстанавливается после сбоев легче, чем схема hub-and-spoke.
Как работает mesh VPN
Присоединяясь к сети, узел аутентифицируется в плоскости управления и узнаёт о своих соседях. Затем он устанавливает шифрованные туннели напрямую с теми узлами, с которыми ему нужно обмениваться данными, часто с обходом NAT, так что туннель появляется, даже когда обе стороны находятся за роутерами. Плоскость управления продолжает распространять идентификаторы, ключи и политики доступа по мере того, как узлы подключаются и отключаются, но сами данные идут от узла к узлу. В этом главное отличие от классического VPN удалённого доступа, где каждый клиент подключается к одному шлюзу и весь трафик идёт через него.
Mesh VPN против традиционного VPN
Традиционный VPN построен по схеме hub-and-spoke: клиенты подключаются к концентратору, через который идёт весь трафик и который становится единой точкой отказа. Любым двум клиентам, которым нужно обменяться данными, это добавляет лишний переход и задержку. Mesh VPN убирает концентратор с пути данных и даёт узлам прямые пути друг к другу. Продукты этого класса различаются единицей сети (одни объединяют отдельные устройства, другие целые площадки) и тем, можно ли развернуть плоскость управления у себя, но идея у них общая: прямая шифрованная связь peer-to-peer с централизованной координацией.
Как это соотносится с Vexaro Mesh (в разработке)
Vexaro Mesh задуман как mesh-сеть для целых площадок, а не отдельных устройств: шлюзы в офисах, дата-центрах и облаках сами строят full mesh, и каждая площадка связывается с любой другой напрямую. Контроллер должен управлять политиками, оставаясь вне пути данных, а узлы за NAT должны соединяться напрямую везде, где позволяет сеть, и через ретранслятор там, где не позволяет. Оплата планируется за подключённую площадку, а контроллер сможет работать в облаке или внутри вашего контура.
Посмотреть планируемые функции