SSL VPN ці абгортка TLS? Параўнайце мяжу, якая не вытрымала

Дзве схемы могуць трымаць TLS на порце 443 і азначаць гэтым зусім рознае. Абгортка абараняе адно наладжанае злучэнне паміж лакальным портам і аддаленым бэкендам. Схема сеткавага доступу перадае выбраны трафік і змяняе тое, да чаго кліент можа дацягнуцца. Прайдзіце чатыры праверкі ніжэй па чарзе, і вы даведаецеся, што менавіта бачыце, а гэтага звычайна дастаткова, каб зразумець, які ўзровень адмовіў.

Пачніце са злучэння, якое вы сапраўды наладзілі

Запішыце пярэдні і задні бок, перш чым параўноўваць прадукты. Абгортка слухае на лакальным адрасе і перадае на аддалены, або запускае праграму на аддаленым баку, і гэтая пара — увесь яе кантракт. Іншыя праграмы кліента нічога пра яе не ведаюць, пакуль вы іх на яе не накіруеце. Гэта не недахоп інструмента, гэта тое, для чаго інструмент створаны.

Кантракт сеткавай схемы іншы, і ён выяўляецца ў маршрутах і палітыках, а не ў пары партоў.

Адзначце, якое з гэтых двух апісанняў адпавядае вашай схеме. Калі адказ — адно супастаўленне порта з сертыфікатам пасярэдзіне, у вас абгортка, нават калі назва прадукту кажа VPN. Калі адказ — інтэрфейс тунеля і змяненні маршрутаў, у вас сеткавая схема, нават калі яна працуе на 443.

Праверце, да чаго падключаецца абгортка

Прачытайце налады слухання і падключэння і прасачыце іх да рэальнага бэкенда. Абгортка, якая перадае на порт базы даных, не адкрывае вэб-праграму, а абгортка, якая запускае праграму, запускае менавіта яе, а не публікуе ўсё астатняе, што працуе на хосце. Бэкенд — адзінае, пра што абгортка ведае.

Затым вырашыце, ці перадаваны паток — адкрыты тэкст пасля завяршэння TLS. Абгорнутае злучэнне абараняе адрэзак паміж дзвюма абгорткамі, а тое, што адбываецца пасля далёкай абгорткі, — асобнае пытанне. Таму абгортваць нешта, што ўжо мае ўласную абарону, часам разумна, а часам гэта проста лішнія рухомыя часткі. Праверце наступны крок замест таго, каб меркаваць любы з двух адказаў.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Першая каманда паказвае сертыфікат, які кліенту фактычна прапануюць, а другая — што слухае на хосце. Параўнайце гэтую назву сертыфіката з той, якую вы чакалі, перш чым чытаць што-небудзь яшчэ.

Праверце, які трафік нясе схема

Схемы сеткавага доступу перадаюць выбраны трафік і ўзаемадзейнічаюць з маршрутызацыяй і палітыкай доступу кліента. Допуск — не аўтарызацыя, таму аўтэнтыфікаванае злучэнне ўсё яшчэ патрабуе рашэння, да якіх рэсурсаў яму можна дацягнуцца. Кліентавы партал — трэцяя мадэль, якая праксіруе падтрыманыя аперацыі, ніколі не выступаючы як інтэрфейс tun.

Этыкетка прадукту не кажа, якую з гэтых мадэляў вы купілі, а нумар порта кажа яшчэ менш.

Узроўневасць магчымая і не павінна заблытаць параўнанне. Пратакол тунеля сам можа быць абгорнуты ў TLS у падтрыманым размяшчэнні TCP, і гэта дадае ўзровень вакол тунеля, не ператвараючы абгортку ў тунель. Гэта адабраная канструкцыя з уласнымі паводзінамі прадукцыйнасці і адмоў, і яна заслугоўвае радка на схеме. Запішыце яе, а затым параўноўвайце базавыя мадэлі, а не знешнюю абгортку.

Праверце мяжу адмовы, а не этыкетку

Запішыце факты для адной няўдалай спробы: адрас пярэдняга боку, слухач, асобу, якую праверыў кліент, мэту бэкенда і запытаную аперацыю. Паспяховы рукапоціск даказвае, што знешні TLS завяршыўся, і нічога не кажа пра бэкенд. Адмова бэкенда — падзея, іншая за збой асобы на пярэднім баку, і ні адна не паляпшаецца ад выдалення -verify_return_error у кліента. Параўноўвайце падобнае з падобным, бо поспех праз іншае імя хоста або порт не паказвае, што ўмовы былі тыя ж.

Порт 443 — гэта ўмоўнасць, якая прапускае TLS праз прамежкавыя прылады. Ён не робіць адвольны трафік падобным да вэб-запыту для прылады палітыкі.

Скончыце адным сказам, які называе пару канцавых пунктаў, што перадаецца, якія праграмы гэта выкарыстоўваюць і якое дазвол забяспечвае прызначэнне. Схема, якая не можа запоўніць гэтыя чатыры пропускі, не скончана, што б ні сцвярджала яе этыкетка. Гэты сказ таксама — самы хуткі спосаб растлумачыць схему таму, хто валодае файрволам.