Gee ’n TLS-omhulsel jou ’n privaat netwerk? Gewoonlik nie

TLS beskerm ’n kanaal tussen twee eindpunte en sê niks oor watter dienste daarbinne sit nie. ’n Omhulsel verander daardie kanaal in een geconfigureerde deurstuurder, vir een luisteraar, na een bestemming. ’n Produk wat as SSL VPN verkoop word, voeg gewoonlik ’n koppelvlak, ’n roetetabel en ’n toegangsmodel by rondom dieselfde primitief. Om die twee te verwar is hoe ’n werkende tonnel vir netwerktoegang aangesien word.

Wat ’n diensomhulsel werklik verbind

’n Omhulsel luister op ’n plaaslike poort en stuur wat aankom na ’n geconfigureerde bestemming, hetsy ’n gasheer en poort of ’n plaaslike program. Daardie bestemming word gekies deur wieookal die konfigurasielêer geskryf het, een luisteraar op ’n slag. Die installering van die pakket skep geen roetes, geen virtuele koppelvlak en geen bereikbaarheid vir enigiets wat nie eksplisiet gelys is nie. Lees die konfigurasie voor die pakketbeskrywing, want die beskrywing dek ’n klas gebruik en die lêer dek joune.

Dus is die nuttige vraag oor ’n omhulsel nie of dit versleutel nie, maar wat aan elke kant van die ketting sit wat dit bou.

application -> local listener -> TLS connection -> remote listener -> configured backend

Lees daardie ketting uit die konfigurasie eerder as uit die bemarkingsnaam. Elke pyl is ’n aparte netwerksprong met sy eie adres en sy eie toegangsreëls.

Vind waar die TLS-kanaal eindig

As die omhulsel TLS termineer, is alles wat dit verder stuur ’n nuwe verbinding met nuwe eienskappe. Die stroom kan gewone teks op ’n privaat segment wees, of dit kan ’n ander beskermde protokol binne-in dra. Om enige van die twee te aanvaar sonder om die agterkant-konfigurasie te lees, is hoe mense tot die gevolgtrekking kom dat die buitenste laag data beskerm wat dit nooit weer sien nie. Die deurgestuurde sprong verdien sy eie ondersoek, op sy eie adres en poort.

Kontroleer die luisteraar en die agterkant afsonderlik, want ’n handdruk wat by die voordeur slaag, sê niks oor die diens daar agter nie.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Die eerste opdrag wys watter proses die poort besit en op watter adres dit luister. Die tweede druk die sertifikaat wat die kliënt werklik ontvang, wat die identiteitskontrole is wat ’n poortnommer nie kan vervang nie.

Wat ’n gerouteerde VPN byvoeg wat ’n omhulsel nie doen nie

’n Gerouteerde VPN installeer ’n koppelvlak, neem eienaarskap van geselekteerde voorvoegsels en integreer met die gasheer se roetering en toegangsbeleid. Elke toepassing op die masjien trek voordeel sonder om te weet die tonnel bestaan. ’n Omhulsel gee daardie bereik aan een geconfigureerde luisteraar en stop daar.

Toelating is weer apart. ’n VPN wat ’n kliënt authentiseer, het steeds magtiging nodig wat sê watter hulpbronne die kliënt mag bereik, en ’n omhulsel wat ’n eweknie authentiseer, het steeds ’n agterkant nodig wat sy eie regte afdwing.

Daar is ’n wettige kombinasie: ’n VPN-protokol wat binne ’n TLS-omhulsel op ’n doelbewus ondersteunde TCP-reëling gedra word. Dit stapel twee lae, en dit maak nie die omhulsel en die VPN dieselfde soort voorwerp nie.

Vergelyk die grens wat faal

Skryf die front-end-adres, die luisteraar, die eweknie-identiteit, die agterkant-teiken en die toepassingsbewerking neer voordat jy iets verander. Vergelyk dan soort met soort: ’n sukses deur ’n ander gasheernaam of poort bewys nie dat die firewall- en sertifikaattoestande identies was nie.

’n Verwerpte versoek na die agterkant moet nooit herstel word deur front-end-identiteitsverifikasie te deaktiveer nie. Dit ruil ’n diagnoseerbare magtigingsfout vir ’n ondiagnoseerbare vertrouensfout.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Om die naam aan ’n gekose adres te pen, skei naamoplossing van bereikbaarheid, wat gewoonlik die vinnigste manier is om te sien watter van die twee stukkend is.

Die vergelyking wat saak maak, noem die beskermde eindpuntpaar, die vrag wat gedra word, die toepassings wat dit gebruik en die magtiging wat by die bestemming afgedwing word. TLS dra by tot daardie beskrywing sonder om dit te voltooi.