Un embolcall TLS et dona una xarxa privada? Normalment no

TLS protegeix un canal entre dos extrems i no diu res sobre quins serveis hi ha a dins. Un embolcall converteix aquest canal en un únic reenviador configurat, per a un sol oient, cap a una sola destinació. Un producte venut com a SSL VPN normalment afegeix una interfície, una taula d’encaminament i un model d’accés al voltant del mateix primitiu. Confondre les dues coses és com un túnel funcional es pren per accés a la xarxa.

Què connecta realment un embolcall de servei

Un embolcall escolta en un port local i reenvia el que arriba cap a una destinació configurada, ja sigui un amfitrió i un port o un programa local. Aquesta destinació la tria qui va escriure el fitxer de configuració, un oient alhora. Instal·lar el paquet no crea cap ruta, cap interfície virtual ni cap abast per a res que no estigui llistat explícitament. Llegeix la configuració abans que la descripció del paquet, perquè la descripció cobreix una classe d’ús i el fitxer cobreix el teu.

Així, la pregunta útil sobre un embolcall no és si xifra, sinó què hi ha a cada extrem de la cadena que construeix.

application -> local listener -> TLS connection -> remote listener -> configured backend

Llegeix aquesta cadena a partir de la configuració i no del nom comercial. Cada fletxa és un salt de xarxa separat amb la seva pròpia adreça i les seves pròpies regles d’accés.

Troba on acaba el canal TLS

Si l’embolcall acaba el TLS, tot el que reenvia després és una connexió nova amb propietats noves. El flux pot ser text pla en un segment privat, o pot portar un altre protocol protegit a dins. Suposar qualsevol de les dues coses sense llegir la configuració del backend és com la gent conclou que la capa exterior protegeix dades que ja no torna a veure. El salt reenviat mereix la seva pròpia inspecció, a la seva pròpia adreça i port.

Comprova l’oient i el backend per separat, perquè una encaixada de mans que té èxit a la porta d’entrada no diu res sobre el servei que hi ha al darrere.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

La primera ordre mostra quin procés posseeix el port i en quina adreça escolta. La segona imprimeix el certificat que el client rep realment, que és la comprovació d’identitat que un número de port no pot substituir.

Què afegeix una VPN encaminada que un embolcall no fa

Una VPN encaminada instal·la una interfície, pren la propietat dels prefixos seleccionats i s’integra amb l’encaminament i la política d’accés de l’amfitrió. Cada aplicació de la màquina se’n beneficia sense saber que el túnel existeix. Un embolcall dona aquest abast a un sol oient configurat i s’atura aquí.

L’admissió és una altra cosa. Una VPN que autentica un client encara necessita una autorització que digui a quins recursos pot arribar, i un embolcall que autentica un igual encara necessita un backend que apliqui els seus propis permisos.

Hi ha una combinació legítima: un protocol VPN portat dins d’un embolcall TLS sobre una disposició TCP deliberadament suportada. Això apila dues capes i no fa que l’embolcall i la VPN siguin el mateix tipus d’objecte.

Compara la frontera que falla

Anota l’adreça frontal, l’oient, la identitat de l’igual, l’objectiu del backend i l’operació de l’aplicació abans de canviar res. Després compara el que és comparable: un èxit a través d’un altre nom d’amfitrió o port no demostra que les condicions del tallafoc i del certificat fossin idèntiques.

Una sol·licitud rebutjada al backend no s’ha de reparar mai desactivant la verificació d’identitat frontal. Això canvia una fallada d’autorització diagnosticable per una fallada de confiança no diagnosticable.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Fixar el nom a una adreça triada separa la resolució de noms de l’abast, que normalment és la manera més ràpida de saber quina de les dues està trencada.

La comparació que importa anomena el parell d’extrems protegits, la càrrega transportada, les aplicacions que la fan servir i el permís que s’aplica a la destinació. TLS contribueix a aquesta descripció sense completar-la.