VPN من نوع TLS مقابل IPsec: الحقول الخمسة الجديرة بالمراجعة
قارن VPN من نوع TLS وVPN من نوع IPsec حسب الإصدار وإصدار البروتوكول والمجموعة وهوية النظير والنطاق المكشوف، إضافة إلى نتيجة الفشل التي ضبطتها فعلياً.
ترتيب شبكات VPN من نوع TLS مقابل شبكات VPN من نوع IPsec حسب عائلة البروتوكول يجيب عن سؤال لم يطرحه أحد، وعادة ما يستشهد ببنية تخلت عنها العائلتان منذ سنوات. ما يستطيع المراجع تقييمه فعلاً هو الحماية المتفاوض عليها، وهوية النظير، ونموذج العميل، والخدمة المكشوفة. هذه الأمور الأربعة مرئية في النشر، ولا شيء منها يتبع من ملصق المنتج. اطلب خمسة حقول فيصبح الحديث ملموساً.
خمسة حقول، والملصق ليس أحدها
الحقل الأول هو إصدار البرنامج المدعوم، لأن وصف البروتوكول دون إصدار هو كتيب دعائي. الثاني هو إصدار البروتوكول المتفاوض عليه، الذي يحدد أي البنى متاحة أصلاً. الثالث هو مجموعة الحماية، والرابع هو طريقة المصادقة للنظير والمستخدم، والخامس هو نطاق الوصول الذي يمنحه المنتج بعد القبول.
ملصق VPN من نوع SSL يغطي ثلاثة منتجات مختلفة على الأقل: عميل شبكة كامل، ووكيل تطبيقات، وبوابة قديمة قائمة على المتصفح. تكشف خدمات مختلفة وتفشل بطرق مختلفة، لذا لا يمكن للملصق أن يحل محل حقل النطاق.
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
ما الذي يغيّره التشفير الموثق فعلاً
يتطلب TLS 1.3 تشفيراً موثقاً، وهو ما يزيل بنية MAC-then-encrypt الأقدم من البروتوكول بدلاً من تركها اختيارية. ولدى IPsec ESP مجموعات تشفير موثق منذ المدة نفسها، مع تعريف AES-GCM في RFC خاص به. في كلتا العائلتين يأتي الضمان من المجموعة المتفاوض عليها لا من اسم العائلة، ولهذا تبدأ قائمة الحقول بإصدار. المراجع الذي لا يستطيع تسمية المجموعة ليس لديه ما يقيّمه.
لهذا فإن المقارنة التاريخية مضللة. النشر المثبت على إصدار TLS قديم مع مجموعة CBC وآخر يشغّل TLS 1.3 مع مجموعة AEAD ليسا الوضع الأمني نفسه، وإن كان كلاهما VPN من نوع TLS. والانقسام نفسه موجود في جانب IPsec بين مجموعة ESP حديثة وتركيبة قديمة.
اقرأ القيم المتفاوض عليها بدلاً من التكوين الذي كنت تنوي استخدامه. تُظهر الأوامر أدناه ما اتفق عليه فعلاً طرف نهائي حي ونفق حي.
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasإذا لم يرغب الطرف النهائي في التفاوض على TLS 1.3، فهذا اكتشاف وليس تفضيلاً. وإذا سرد النفق مجموعة لم تتوقعها، فالتكوين المهم هو الذي اختاره النظيران، وليس الموجود في القالب.
هوية النظير سؤال منفصل
التشفير دون نظير موثق يحمي حركة المرور من المراقبين ويسلمها إلى من أجاب على الاتصال. تسأل مصادقة النظير عن الهوية المتوقعة، وعن مادة الثقة التي تتحقق منها، وعن سلوك العميل عندما لا تتطابق الإجابة. سلسلة الشهادات والمفتاح المثبت والسر المشترك مسبقاً ثلاث إجابات مختلفة بثلاث تكاليف تشغيلية مختلفة.
ثم اطرح الأسئلة نفسها عن المستخدم أو الجهاز. البوابة التي تصادق الجهاز وتقبل أي مستخدم، أو العكس، لها وضع محدد ينبغي كتابته لا افتراضه. أذونات الموارد المطبقة بعد القبول جزء من الحقل نفسه، لأن المصادقة ليست تخويلاً.
الحفاظ على فحوص اسم المضيف والشهادة أهم من ألفة نافذة الدخول. العميل المهيأ لتجاهل التحقق أزال الخطوة الوحيدة التي تميز بوابتك عن تقليد مقنع.
الحدود التي يكشفها المنتج
البوابة بلا عميل توكّل عمليات تطبيق مختارة عبر البوابة، فيصل المستخدم إلى واجهة لا إلى شبكة. عميل النفق الكامل يحمل ما تختاره مساراته وسياسة تصفيته، وهو سطح أكبر بكثير. مقارنة الاثنين بقوة البروتوكول تغفل الفرق في ما يمكن للمهاجم الوصول إليه عبرهما. أحدهما يكشف واجهة تطبيق والآخر شبكة موجهة، وكلاهما يحتاج مراجعات مختلفة.
اسأل أي خدمة مكشوفة، وأي عمليات مخولة، وعمّا تستمع إليه البوابة نفسها. واجهة إدارة يمكن الوصول إليها من العنوان نفسه الذي تُخدم منه بوابة المستخدمين هي اكتشاف نشر، ولا يعوض عنه أي اختيار بروتوكول.
النطاق لكل تطبيق يضيق السطح أكثر، ويغيّر أيضاً سلوك الفشل عند سقوط النفق. التصميم الذي يفترض مدى النفق الكامل ينكسر بطرق لا يعرفها تصميم لكل تطبيق، ويتبع ذلك عبء الدعم.
قرر نتيجة الفشل ودورة الحياة
ما يحدث عندما تكون المصادقة أو الحماية غير متاحة قرار سياسة يخص المراجعة. النتيجة المحجوبة والرجوع المباشر غير المعلن لهما عواقب مختلفة، والفرق غير مرئي في قائمة ميزات. اذكر السلوك المقصود إلى جانب المورد الذي يحميه.
أدرج دورة حياة الترقيع والدعم للبوابة، وميزاتها الخارجية الممكّنة، ومسار التحديث للعملاء. الاختيار الصحيح للبروتوكول لا يجعل خدمة منشورة بشكل سيئ آمنة، ومعظم الحوادث تعيش في تلك الفجوة لا في المجموعة.
اكتب الحقول الخمسة وسياسة الفشل ومالك دورة الحياة في صفحة واحدة. تلك الصفحة مراجعة؛ ومقارنة عائلات البروتوكول رأي.