SSL VPN yoxsa TLS örtüyü? Uğursuz olan sərhədi müqayisə edin

İki dizayn TLS-i 443 portunda işlədə və bununla tamamilə fərqli şeylər nəzərdə tuta bilər. Örtük bir konfiqurasiya edilmiş bağlantını qoruyur — yerli portla uzaq backend arasında. Şəbəkəyə giriş dizaynı seçilmiş trafiki daşıyır və müştərinin nəyə çata biləcəyini dəyişir. Aşağıdakı dörd yoxlamanı ardıcıl aparın və hansına baxdığınızı biləcəksiniz; bu, adətən hansı təbəqənin uğursuz olduğunu bilmək üçün kifayətdir.

Faktiki konfiqurasiya etdiyiniz bağlantıdan başlayın

Məhsulları müqayisə etməzdən əvvəl ön və arxa tərəfi yazın. Örtük yerli ünvanda dinləyir və uzaq ünvana yönləndirir, ya da uzaq tərəfdə proqram işə salır; bu cüt onun bütün müqaviləsidir. Müştərinin digər tətbiqləri onu ora yönəltməyincə bu barədə heç nə bilmir. Bu, alətin çatışmazlığı deyil, alətin nə üçün olduğudur.

Şəbəkə dizaynının müqaviləsi fərqlidir və port cütü ilə deyil, marşrutlar və siyasətlə ifadə olunur.

Bu iki təsvirdən hansının diaqramınıza uyğun olduğuna diqqət yetirin. Cavab ortasında sertifikat olan bir port xəritələnməsidirsə, məhsulun adı VPN olsa belə, sizdə örtük var. Cavab tunel interfeysi və marşrut dəyişiklikləridirsə, 443-də işləsə belə, sizdə şəbəkə dizaynı var.

Örtüyün nəyə qoşulduğunu yoxlayın

Dinləmə və qoşulma parametrlərini oxuyun və onları real backendə qədər izləyin. Verilənlər bazası portuna yönləndirən örtük veb tətbiqi açmır, proqram icra edən örtük isə hostun qalan hər şeyini yayımlamaq əvəzinə həmin proqramı işə salır. Backend örtüyün bildiyi yeganə şeydir.

Sonra TLS bitəndən sonra ötürülən axının açıq mətn olub-olmadığına qərar verin. Örtülmüş bağlantı iki örtük arasındakı seqmenti qoruyur və uzaq örtükdən sonra baş verənlər ayrı bir sualdır. Buna görə artıq öz müdafiəsini daşıyan bir şeyi örtmək bəzən məntiqlidir, bəzən isə sadəcə əlavə hərəkətli hissələrdir. Hər iki cavabı fərz etmək əvəzinə növbəti hopu yoxlayın.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Birinci əmr müştəriyə faktiki təqdim olunan sertifikatı göstərir, ikincisi isə hostda nəyin dinlədiyini göstərir. Hər hansı başqa şeyi oxumazdan əvvəl həmin sertifikat adını gözlədiyiniz adla müqayisə edin.

Dizaynın hansı trafiki daşıdığını yoxlayın

Şəbəkəyə giriş dizaynları seçilmiş trafiki daşıyır və müştərinin marşrutlaşdırması və giriş siyasəti ilə inteqrasiya edir. Qəbul icazə deyil, ona görə autentifikasiya olunmuş bağlantı yenə də hansı resurslara çata biləcəyi barədə qərara ehtiyac duyur. Müştərisiz portal, dəstəklənən əməliyyatları heç vaxt tun interfeysi kimi görünmədən proksiləyən üçüncü modeldir.

Məhsul etiketi bu modellərdən hansını aldığınızı demir, port nömrəsi isə daha az deyir.

Qatlaşma mümkündür və müqayisəni qarışdırmamalıdır. Tunel protokolu özü dəstəklənən TCP düzümündə TLS ilə örtülə bilər; bu, tunelin ətrafına qat əlavə edir, örtüyü tunelə çevirmir. Bu, öz performans və nasazlıq davranışı olan dizayn seçimidir və diaqramda bir sətirə layiqdir. Onu qeyd edin, sonra xarici örtüyü deyil, əsas modelləri müqayisə edin.

Uğursuz sərhədi yoxlayın, etiketi deyil

Bir uğursuz cəhd üçün faktları yazın: ön ünvan, dinləyici, müştərinin yoxladığı kimlik, backend hədəfi və tələb olunan əməliyyat. Uğurlu əl sıxma xarici TLS-in tamamlandığını sübut edir və backend barədə heç nə demir. Backend rəddi ön tərəfin kimlik uğursuzluğundan fərqli hadisədir və heç biri müştəridən -verify_return_error çıxarmaqla yaxşılaşmır. Bənzəri bənzərlə müqayisə edin, çünki başqa host adı və ya port vasitəsilə uğur şərtlərin eyni olduğunu göstərmir.

443 portu TLS-in aralıq qurğulardan keçməsinə imkan verən bir konvensiyadır. O, ixtiyari trafiki siyasət cihazı üçün veb sorğusuna bənzətmir.

Son nöqtə cütünü, nəyin daşındığını, hansı tətbiqlərin ondan istifadə etdiyini və təyinatın hansı icazəni tətbiq etdiyini adlandıran bir cümlə ilə bitirin. Bu dörd boşluğu doldura bilməyən dizayn, etiketi nə iddia edirsə etsin, tamamlanmayıb. Həmin cümlə həm də dizaynı firewall-a sahib olana izah etməyin ən sürətli yoludur.