SSL VPN o embolcall TLS? Compareu la frontera que va fallar

Dos dissenys poden fer córrer TLS al port 443 i voler dir coses completament diferents. Un embolcall protegeix una connexió configurada entre un port local i un backend remot. Un disseny d’accés a la xarxa transporta trànsit seleccionat i canvia què pot abastar el client. Feu les quatre comprovacions següents per ordre i sabreu quin dels dos esteu mirant, cosa que normalment ja n’hi ha prou per saber quina capa ha fallat.

Comenceu per la connexió que heu configurat realment

Anoteu el frontal i el darrere abans de comparar productes. Un embolcall escolta en una adreça local i reenvia a una de remota, o inicia un programa al costat remot, i aquesta parella és tot el seu contracte. La resta d’aplicacions del client no en saben res tret que les hi adreceu. Això no és una mancança de l’eina, és per a què serveix l’eina.

El contracte d’un disseny de xarxa és diferent i s’expressa en rutes i política, no en una parella de ports.

Fixeu-vos en quina de les dues descripcions encaixa amb el vostre diagrama. Si la resposta és un mapatge de port amb un certificat al mig, teniu un embolcall encara que el nom del producte digui VPN. Si la resposta és una interfície de túnel i canvis de ruta, teniu un disseny de xarxa encara que corri al 443.

Comproveu a què es connecta l’embolcall

Llegiu la configuració d’escolta i de connexió i seguiu-la fins al backend real. Un embolcall que reenvia a un port de base de dades no obre cap aplicació web, i un embolcall que executa un programa inicia aquell programa en lloc de publicar tota la resta que executa l’amfitrió. El backend és l’única cosa que l’embolcall coneix.

Després decidiu si el flux reenviat és text pla quan acaba TLS. Una connexió embolcallada protegeix el segment entre els dos embolcalls, i què passa després de l’embolcall llunyà és una qüestió a part. Per això embolcallar una cosa que ja porta la seva pròpia protecció de vegades és sensat i de vegades només són peces mòbils de més. Inspeccioneu el següent salt en lloc de suposar cap de les dues respostes.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

La primera ordre mostra el certificat que realment s’ofereix al client, i la segona mostra què escolta a l’amfitrió. Compareu aquest nom de certificat amb el que esperàveu abans de llegir res més.

Comproveu quin trànsit transporta el disseny

Els dissenys d’accés a la xarxa transporten trànsit seleccionat i s’integren amb l’encaminament i la política d’accés del client. L’admissió no és autorització, així que una connexió autenticada encara necessita una decisió sobre a quins recursos pot arribar. Un portal sense client és un tercer model que fa de proxie per a les operacions admeses sense aparèixer mai com una interfície tun.

L’etiqueta del producte no us diu quin d’aquests models heu comprat, i el número de port us en diu encara menys.

La superposició és possible i no ha de confondre la comparació. Un protocol de túnel pot anar ell mateix embolcallat en TLS en una disposició TCP admesa, cosa que afegeix una capa al voltant del túnel sense convertir l’embolcall en el túnel. És una decisió de disseny amb el seu propi comportament de rendiment i de fallada, i mereix una línia al diagrama. Anoteu-la i després compareu els models de base, no l’embolcall exterior.

Comproveu la frontera que falla, no l’etiqueta

Anoteu els fets d’un intent fallit: adreça frontal, oient, la identitat que el client ha verificat, l’objectiu del backend i l’operació demanada. Un handshake que té èxit demostra que el TLS exterior s’ha completat i no diu res del backend. Un rebuig del backend és un esdeveniment diferent d’una fallada d’identitat al frontal, i cap dels dos millora si traieu -verify_return_error del client. Compareu el que és comparable, perquè un èxit per un altre nom d’amfitrió o port no demostra que les condicions fossin les mateixes.

El port 443 és una convenció que deixa passar TLS pels aparells intermediaris. No fa que el trànsit arbitrari sembli una petició web per a un dispositiu de política.

Acabeu amb una frase que anomeni la parella d’extrems, què es transporta, quines aplicacions la fan servir i quin permís imposa la destinació. Un disseny que no pot omplir aquests quatre buits no està acabat, digui el que digui la seva etiqueta. Aquesta frase també és la manera més ràpida d’explicar el disseny a qui sigui el propietari del tallafoc.