SSL VPN, nebo TLS obal? Porovnejte hranici, která selhala

Dva návrhy mohou provozovat TLS na portu 443 a znamenat tím zcela odlišné věci. Obal chrání jedno nakonfigurované spojení mezi místním portem a vzdáleným backendem. Návrh síťového přístupu přenáší vybraný provoz a mění, co klient může dosáhnout. Projděte čtyři kontroly níže popořadě a budete vědět, na kterou z nich se díváte, což obvykle stačí k tomu, abyste věděli, která vrstva selhala.

Začněte spojením, které jste skutečně nakonfigurovali

Než začnete porovnávat produkty, zapište si přední a zadní konec. Obal poslouchá na místní adrese a předává na vzdálenou, nebo spouští program na vzdálené straně, a tato dvojice je celá jeho smlouva. Ostatní aplikace klienta o něm nic nevědí, dokud je na něj nenasměrujete. To není nedostatek nástroje, to je jeho účel.

Smlouva síťového návrhu je jiná a vyjadřuje se v trasách a politice, nikoli v dvojici portů.

Všimněte si, který z těch dvou popisů odpovídá vašemu diagramu. Pokud je odpovědí jedno mapování portu s certifikátem uprostřed, máte obal, i když název produktu říká VPN. Pokud je odpovědí tunelové rozhraní a změny tras, máte síťový návrh, i když běží na 443.

Zkontrolujte, k čemu se obal připojuje

Přečtěte si nastavení naslouchání a připojení a sledujte je k skutečnému backendu. Obal, který předává na port databáze, neotevírá webovou aplikaci, a obal, který spouští program, spouští právě ten program, místo aby zveřejnil všechno ostatní, co hostitel provozuje. Backend je jediná věc, o které obal ví.

Potom rozhodněte, zda je předávaný tok po skončení TLS prostý text. Obalené spojení chrání segment mezi dvěma obaly a to, co se děje po vzdáleném obalu, je samostatná otázka. Proto je obalování něčeho, co už nese vlastní ochranu, někdy rozumné a někdy jen pohyblivé části navíc. Prozkoumejte další skok, místo abyste předpokládali kteroukoli z obou odpovědí.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

První příkaz ukazuje certifikát, který se klientovi skutečně nabízí, a druhý ukazuje, co naslouchá na hostiteli. Porovnejte tento název certifikátu s tím, který jste očekávali, než začnete číst cokoli dalšího.

Zkontrolujte, jaký provoz návrh přenáší

Návrhy síťového přístupu přenášejí vybraný provoz a integrují se s směrováním a přístupovou politikou klienta. Přijetí není autorizace, takže ověřené spojení stále potřebuje rozhodnutí o tom, ke kterým prostředkům smí dosáhnout. Portál bez klienta je třetí model, který proxuje podporované operace, aniž by se kdy objevil jako rozhraní tun.

Etiketa produktu neříká, který z těchto modelů jste koupili, a číslo portu říká ještě méně.

Vrstvení je možné a nemělo by mást srovnání. Tunelový protokol může být sám obalen v TLS v podporovaném uspořádání TCP, což přidává vrstvu kolem tunelu, aniž by se obal stal tunelem. Je to návrhové rozhodnutí s vlastním chováním výkonu a selhání a zaslouží si řádek v diagramu. Zaznamenejte ho a potom porovnávejte základní modely, ne vnější obal.

Zkontrolujte selhávající hranici, ne etiketu

Zapište fakta pro jeden neúspěšný pokus: adresa předního konce, posluchač, identita, kterou klient ověřil, cíl backendu a požadovaná operace. Úspěšný handshake dokazuje, že vnější TLS dokončil, a o backendu neříká nic. Odmítnutí backendu je jiná událost než selhání identity na předním konci a ani jedno se nezlepší odstraněním -verify_return_error z klienta. Porovnávejte srovnatelné se srovnatelným, protože úspěch přes jiné jméno hostitele nebo port neukazuje, že podmínky byly stejné.

Port 443 je konvence, která propouští TLS přes mezilehlá zařízení. Nečiní z libovolného provozu webový požadavek pro zařízení politiky.

Skončete jednou větou, která pojmenuje dvojici koncových bodů, co se přenáší, které aplikace to používají a jaké oprávnění cíl vynucuje. Návrh, který nedokáže vyplnit tyto čtyři mezery, není hotový, ať jeho etiketa tvrdí cokoli. Tato věta je také nejrychlejší způsob, jak návrh vysvětlit tomu, kdo vlastní firewall.