TLS VPN və IPsec: nəzərdən keçirməyə dəyən beş sahə

TLS VPN-ləri IPsec VPN-lərlə protokol ailəsinə görə sıralamaq heç kimin vermədiyi suala cavab verir və adətən hər iki ailənin illər əvvəl tərk etdiyi konstruksiyanı sitat gətirir. Rəyçinin həqiqətən qiymətləndirə biləcəyi şey razılaşdırılmış müdafiə, həmkar kimliyi, müştəri modeli və açıq xidmətdir. Bu dörd şey yerləşdirmədə görünür və heç biri məhsul etiketindən irəli gəlmir. Beş sahə istəyin və söhbət konkretləşir.

Beş sahə, etiket isə onlardan biri deyil

Birinci sahə dəstəklənən proqram buraxılışıdır, çünki versiyasız protokol təsviri broşuradır. İkincisi razılaşdırılmış protokol versiyasıdır və hansı konstruksiyaların ümumiyyətlə mövcud olduğunu müəyyən edir. Üçüncüsü müdafiə dəstidir, dördüncüsü həm həmkar, həm də istifadəçi üçün autentifikasiya üsuludur, beşincisi isə məhsulun qəbuldan sonra verdiyi giriş əhatəsidir.

SSL VPN etiketi ən azı üç fərqli məhsulu əhatə edir: tam şəbəkə müştərisi, tətbiq proksisi və köhnə brauzer əsaslı portal. Onlar fərqli xidmətləri açır və fərqli şəkildə uğursuz olur, ona görə etiket əhatə sahəsini əvəz edə bilməz.

Autentifikasiyalı şifrələmə həqiqətən nəyi dəyişir

TLS 1.3 autentifikasiyalı şifrələmə tələb edir, bu da köhnə MAC-then-encrypt konstruksiyasını protokoldan çıxarır, onu seçimli saxlamır. IPsec ESP-də də eyni qədər uzun müddətdir autentifikasiyalı şifrələmə dəstləri var, AES-GCM öz RFC-də təyin edilib. Hər iki ailədə zəmanət razılaşdırılmış dəstdən gəlir, ailə adından deyil, buna görə sahələr siyahısı versiyadan başlayır. Dəstin adını çəkə bilməyən rəyçinin qiymətləndirəcək heç nəyi yoxdur.

Buna görə tarixi müqayisə yanıltıcıdır. Köhnə TLS versiyasına CBC dəsti ilə bağlanmış yerləşdirmə və TLS 1.3-ü AEAD dəsti ilə işlədən yerləşdirmə eyni təhlükəsizlik mövqeyi deyil, hər ikisi TLS VPN olsa da. Eyni bölünmə IPsec tərəfində müasir ESP dəsti ilə köhnə kombinasiya arasında da var.

Konfiqurasiya etmək istədiyinizi deyil, razılaşdırılmış dəyərləri oxuyun. Aşağıdakı əmrlər işləyən son nöqtənin və işləyən tunelin həqiqətən nəyə razılaşdığını göstərir.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Son nöqtə TLS 1.3 üzərində razılaşmaq istəmirsə, bu tapıntıdır, üstünlük deyil. Tunel gözləmədiyiniz dəsti sadalayırsa, vacib olan konfiqurasiya həmkarların seçdiyidir, şablondakı deyil.

Həmkar kimliyi ayrı bir sualdır

Təsdiqlənməmiş həmkar olmadan şifrələmə trafiki müşahidəçilərdən qoruyur və onu bağlantıya cavab verənə təhvil verir. Həmkar autentifikasiyası hansı kimliyin gözlənildiyini, hansı etimad materialının onu təsdiqlədiyini və cavab uyğun gəlmədikdə müştərinin necə davrandığını soruşur. Sertifikat zənciri, bərkidilmiş açar və əvvəlcədən paylaşılmış sirr üç fərqli cavabdır, üç fərqli əməliyyat xərci ilə.

Sonra istifadəçi və ya cihaz haqqında eyni sualları verin. Maşını autentifikasiya edib istənilən istifadəçini qəbul edən şlüz, ya da əksinə, yazılmalı, güman edilməməli olan konkret mövqeyə malikdir. Qəbuldan sonra tətbiq edilən resurs icazələri eyni sahəyə aiddir, çünki autentifikasiya avtorizasiya deyil.

Host adı və sertifikat yoxlamalarını qorumaq giriş pəncərəsinin tanışlığından daha vacibdir. Yoxlamanı laqeyd etmək üçün konfiqurasiya edilmiş müştəri şlüzünüzü inandırıcı təqliddən fərqləndirən yeganə addımı sildi.

Məhsulun açdığı sərhəd

Müştərisiz portal seçilmiş tətbiq əməliyyatlarını şlüz vasitəsilə proksiləyir, buna görə istifadəçi şəbəkəyə deyil, interfeysə çatır. Tam tunel müştərisi öz marşrutlarının və filtrləmə siyasətinin seçdiyini daşıyır, bu isə daha böyük səthdir. İkisini protokol gücünə görə müqayisə etmək hücumçunun onlar vasitəsilə nəyə çata biləcəyi fərqini qaçırır. Biri tətbiq interfeysi, digəri marşrutlaşdırılmış şəbəkə açır və ikisi fərqli baxışlar tələb edir.

Hansı xidmətin açıq olduğunu, hansı əməliyyatların icazəli olduğunu və şlüzün özünün nəyə qulaq asdığını soruşun. İstifadəçi portalı ilə eyni ünvandan əlçatan idarəetmə interfeysi yerləşdirmə tapıntısıdır və heç bir protokol seçimi bunu kompensasiya etmir.

Tətbiq üzrə əhatə səthi daha da daraldır və tunel düşəndə uğursuzluq davranışını da dəyişir. Tam tunel əhatəsini güman edən dizayn tətbiq üzrə dizaynın bilmədiyi yollarla qırılır və dəstək yükü davam edir.

Uğursuzluq nəticəsini və həyat dövrünü qərar verin

Autentifikasiya və ya müdafiə mövcud olmadıqda nə baş verir — baxışa aid siyasət qərarıdır. Bloklanmış nəticə və elan edilməmiş birbaşa geri dönüş fərqli nəticələrə malikdir və fərq funksiyalar siyahısında görünmür. Nəzərdə tutulan davranışı qoruduğu resursun yanında göstərin.

Şlüzün yamaq və dəstək həyat dövrünü, aktivləşdirilmiş xarici funksiyalarını və müştərilər üçün yenilənmə yolunu daxil edin. Düzgün protokol seçimi pis yerləşdirilmiş xidməti təhlükəsiz etmir və hadisələrin çoxu o boşluqda, dəstdə deyil yaşayır.

Beş sahəni, uğursuzluq siyasətini və həyat dövrünün sahibini bir səhifəyə yazın. O səhifə baxışdır; protokol ailələrinin müqayisəsi rəydir.