SSL-VPN of TLS-omhulsel? Vergelyk die grens wat gefaal het

Twee ontwerpe kan TLS op poort 443 laat loop en heeltemal verskillende dinge daarmee bedoel. 'n Omhulsel beskerm een gekonfigureerde verbinding tussen 'n plaaslike poort en 'n afgeleë backend. 'n Netwerktoegang-ontwerp dra gekose verkeer en verander wat die kliënt kan bereik. Werk die vier kontroles hieronder in volgorde deur en jy sal weet watter een jy sien, wat gewoonlik genoeg is om te weet watter laag gefaal het.

Begin met die verbinding wat jy werklik gekonfigureer het

Skryf die voorkant en die agterkant neer voordat jy produkte vergelyk. 'n Omhulsel luister op 'n plaaslike adres en stuur na 'n afgeleë een, of begin 'n program aan die afgeleë kant, en daardie paar is sy hele kontrak. Die kliënt se ander programme weet niks daarvan tensy jy hulle daarop wys nie. Dit is nie 'n tekortkoming van die gereedskap nie, dit is waarvoor die gereedskap is.

'n Netwerkontwerp se kontrak is anders, en dit word in roetes en beleid uitgedruk eerder as in 'n poortpaar.

Let op watter van daardie twee beskrywings by jou diagram pas. As die antwoord een poortkaartering met 'n sertifikaat in die middel is, het jy 'n omhulsel selfs wanneer die produknaam VPN sê. As die antwoord 'n tonnelkoppelvlak en roeteveranderings is, het jy 'n netwerkontwerp selfs wanneer dit op 443 loop.

Kontroleer waaraan die omhulsel koppel

Lees die luister- en koppelinstellings en volg hulle na die werklike backend. 'n Omhulsel wat na 'n databasispoort stuur, maak nie 'n webtoepassing oop nie, en 'n omhulsel wat 'n program uitvoer, begin daardie program eerder as om alles anders te publiseer wat die gasheer laat loop. Die backend is die enigste ding waarvan die omhulsel weet.

Besluit dan of die deurgestuurde stroom gewone teks is sodra TLS eindig. 'n Omhulde verbinding beskerm die segment tussen die twee omhulsels, en wat ná die verre omhulsel gebeur, is 'n aparte vraag. Dit is waarom om iets te omhul wat reeds sy eie beskerming het, soms sinvol is en soms net ekstra bewegende dele. Ondersoek die volgende hop eerder as om enige van die twee antwoorde te aanvaar.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Die eerste opdrag wys die sertifikaat wat 'n kliënt werklik aangebied word, en die tweede wys wat op die gasheer luister. Vergelyk daardie sertifikaatnaam met die een wat jy verwag het voordat jy enigiets anders lees.

Kontroleer watter verkeer die ontwerp dra

Netwerktoegang-ontwerpe dra gekose verkeer en integreer met die kliënt se roetering en toegangsbeleid. Toelating is nie magtiging nie, so 'n gemagtigde verbinding het steeds 'n besluit nodig oor watter hulpbronne dit mag bereik. 'n Kliëntlose portaal is 'n derde model wat ondersteunde bewerkings deurstuur sonder om ooit as 'n tun-koppelvlak te verskyn.

Die produknaam sê nie watter van daardie modelle jy gekoop het nie, en die poortnommer sê nog minder.

Laagvorming is moontlik en moet nie die vergelyking verwar nie. 'n Tonnelprotokol kan self in TLS toegedraai word in 'n ondersteunde TCP-reëling, wat 'n laag om die tonnel byvoeg sonder om die omhulsel in die tonnel te verander. Dit is 'n ontwerpkeuse met sy eie prestasie en falinggedrag, en dit verdien 'n reël in die diagram. Teken dit op en vergelyk dan die onderliggende modelle eerder as die buitenste omhulsel.

Kontroleer die gefaalde grens, nie die etiket nie

Skryf die feite neer vir een mislukte poging: voorkantadres, luisteraar, die identiteit wat die kliënt geverifieer het, die backend-teiken en die bewerking wat aangevra is. 'n Handdruk wat slaag, bewys dat die buitenste TLS voltooi is en sê niks oor die backend nie. 'n Backend-verwerping is 'n ander gebeurtenis as 'n voorkant-identiteitsfout, en nie een verbeter deur -verify_return_error uit die kliënt te laat nie. Vergelyk soortgelyk met soortgelyk, want 'n sukses deur 'n ander gasheernaam of poort wys nie dat die toestande dieselfde was nie.

Poort 443 is 'n konvensie wat TLS deur middelbokse laat. Dit maak nie arbitrêre verkeer soos 'n webversoek vir 'n beleidstoestel nie.

Sluit af met een sin wat die eindpuntpaar noem, wat gedra word, watter toepassings dit gebruik en watter toestemming die bestemming afdwing. 'n Ontwerp wat daardie vier leegtes nie kan invul nie, is nie klaar nie, wat ook al sy etiket beweer. Daardie sin is ook die vinnigste manier om die ontwerp aan wie ook al die vuurmuur besit, te verduidelik.