SSL VPN ili TLS omotač? Uporedite granicu koja je pala

Dva dizajna mogu pokretati TLS na portu 443 i time značiti potpuno različite stvari. Omotač štiti jednu konfigurisanu vezu između lokalnog porta i udaljenog backenda. Dizajn mrežnog pristupa prenosi odabrani saobraćaj i mijenja šta klijent može dosegnuti. Prođite četiri provjere ispod redom i znaćete na šta gledate, što je obično dovoljno da znate koji je sloj pao.

Počnite s vezom koju ste zaista konfigurisali

Zapišite prednji i zadnji kraj prije nego što uporedite proizvode. Omotač sluša na lokalnoj adresi i prosljeđuje na udaljenu, ili pokreće program na udaljenoj strani, i taj par je cijeli njegov ugovor. Druge aplikacije klijenta ne znaju ništa o tome osim ako ih ne usmjerite na njega. To nije nedostatak alata, to je svrha alata.

Ugovor mrežnog dizajna je drugačiji i izražen je u rutama i politici, a ne u paru portova.

Zabilježite koji od tih dvaju opisa odgovara vašem dijagramu. Ako je odgovor jedno mapiranje porta sa certifikatom u sredini, imate omotač čak i kada naziv proizvoda kaže VPN. Ako je odgovor tunelski interfejs i promjene ruta, imate mrežni dizajn čak i kada radi na 443.

Provjerite na šta se omotač spaja

Pročitajte postavke slušanja i spajanja i pratite ih do stvarnog backenda. Omotač koji prosljeđuje na port baze podataka ne otvara web aplikaciju, a omotač koji izvršava program pokreće taj program umjesto da objavljuje sve ostalo što host pokreće. Backend je jedino što omotač zna.

Zatim odlučite je li proslijeđeni tok običan tekst nakon što TLS završi. Omotana veza štiti segment između dva omotača, a ono što se dogodi nakon udaljenog omotača je zasebno pitanje. Zato je omatanje nečega što već nosi vlastitu zaštitu ponekad razumno, a ponekad samo dodatni pokretni dijelovi. Provjerite sljedeći skok umjesto da pretpostavite bilo koji odgovor.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Prva komanda pokazuje certifikat koji se klijentu zaista nudi, a druga pokazuje šta sluša na hostu. Uporedite to ime certifikata s onim koje ste očekivali prije nego što pročitate bilo šta drugo.

Provjerite koji saobraćaj dizajn nosi

Dizajni mrežnog pristupa prenose odabrani saobraćaj i integrišu se s klijentovim rutiranjem i politikom pristupa. Prijem nije autorizacija, pa autentifikovana veza i dalje treba odluku o tome kojim resursima može dosegnuti. Portal bez klijenta treći je model koji proksira podržane operacije bez toga da se ikad pojavi kao tun interfejs.

Oznaka proizvoda ne kaže koji ste od tih modela kupili, a broj porta kaže još manje.

Slojevitost je moguća i ne smije zbuniti poređenje. Tunelski protokol i sam može biti omotan u TLS u podržanom TCP rasporedu, što dodaje sloj oko tunela bez pretvaranja omotača u tunel. To je dizajnerska odluka s vlastitim ponašanjem performansi i kvarova i zaslužuje red u dijagramu. Zabilježite je, pa uporedite osnovne modele, a ne vanjski omotač.

Provjerite granicu kvara, ne oznaku

Zapišite činjenice za jedan neuspjeli pokušaj: adresa prednjeg kraja, slušalac, identitet koji je klijent provjerio, cilj backenda i zatražena operacija. Uspješno rukovanje dokazuje da je vanjski TLS završen i ne govori ništa o backendu. Odbijanje backenda drugačiji je događaj od kvara identiteta na prednjem kraju, i nijedno se ne popravlja uklanjanjem -verify_return_error iz klijenta. Uporedite slično sa sličnim, jer uspjeh kroz drugo ime hosta ili port ne pokazuje da su uslovi bili isti.

Port 443 je konvencija koja pušta TLS kroz međusklopove. On ne čini proizvoljan saobraćaj sličnim web zahtjevu za uređaj politike.

Završite jednom rečenicom koja imenuje par krajnjih tačaka, šta se prenosi, koje aplikacije ga koriste i koje dopuštenje odredište provodi. Dizajn koji ne može popuniti te četiri praznine nije završen, šta god njegova oznaka tvrdila. Ta rečenica je i najbrži način da objasnite dizajn onome ko posjeduje firewall.