Sut mae procsi cyhoeddus yn cyrraedd tarddiad preifat drwy VPN

Mae cyhoeddi gwefan dros dwnnel a rhoi mynediad VPN i ddefnyddwyr yn ddau drefniant gwahanol sy’n rhannu un cebl. Yn y cyntaf, mae procsi gwrthdro cyhoeddus yn derbyn cais yr ymwelydd ac yn ei anfon dros y twnnel i darddiad na all neb gyrraedd yn uniongyrchol. Yn yr ail, rhaid i’r defnyddiwr ymuno â’r VPN cyn bod yr ap yn gyrraeddadwy o gwbl. Cymysgu’r ddau ddisgrifiad yw sut y mae backend preifat yn gorffen yn gyhoeddus agored.

Dau fodel sy’n edrych yn debyg ar ddiagram

Tynnwch y saethau cyn dewis unrhyw beth. Mae model cyhoeddi cyhoeddus yn mynd o’r porwr i’r procsi dros HTTPS, yna o’r procsi i’r tarddiad dros y twnnel, ac nid yw’r tarddiad byth yn derbyn cysylltiad o’r rhyngrwyd. Mae model VPN yn unig yn mynd o’r cleient i’r giât, ac mae’r ap yn gyrraeddadwy dim ond o fewn y llwybr hwnnw. Mae gliniadur y defnyddiwr ar yr un rhwydwaith â’r ap, a dyna holl bwynt y model hwnnw.

Mae’r modelau’n wahanol o ran pwy sy’n dilysu a ble. Yn y cyntaf, y procsi yw’r fynedfa gyhoeddus ac mae’n trosglwyddo unrhyw gais sy’n cyrraedd, gan gynnwys un gelyniaethus, yn ddarostyngedig i’r polisi a ffurfweddir arno. Yn yr ail, mae cyrraeddadwyedd ei hun yn giât, sy’n dderbyniad bras ond go iawn.

Ble mae TLS yn stopio, a beth mae’n ei brofi mewn gwirionedd

Mae TLS rhwng y porwr a’r procsi yn amddiffyn y naid honno ac yn caniatáu i’r porwr ddilysu’r safle y bwriadai ymweld ag ef. Os yw’r procsi’n terfynu TLS, mae’r cais yn bodoli ar ffurf ddarllenadwy y tu mewn i’r broses honno cyn cael ei drosglwyddo. Gall ail sesiwn TLS i’r tarddiad amddiffyn y naid nesaf a dilysu pen yr ap ar wahân. Nid yw’r naill sesiwn na’r llall yn penderfynu pa unigolyn a gaiff ddefnyddio’r ap. Nid yw tystysgrif wildcard ar y procsi yn ymestyn i’r ail naid honno chwaith.

Dyma’r rhan y mae pobl yn ei chwmpasu yn y gair amgryptiedig. Mae cyfrinachedd, cyfanrwydd a hunaniaeth y gweinydd yn briodweddau cludiant; penderfyniad ap yw awdurdodi. Mae cyfeiriad preifat y tu ôl i dwnnel yn newid pwy all gyrraedd y soced, nid pwy gaiff fewngofnodi ar ôl cyrraedd.

Ymddiriedwch mewn penawdau a anfonwyd ymlaen dim ond oddi wrth y procsi

Mae apiau sy’n logio neu’n awdurdodi ar gyfeiriad y cleient fel arfer yn darllen pennawd y mae’r procsi’n ei ychwanegu. Mae’r pennawd hwnnw’n destun yn unig, felly gall unrhyw beth sy’n cyrraedd y tarddiad yn uniongyrchol hawlio unrhyw gyfeiriad a fyn. Cyfyngwch y tarddiad fel mai dim ond cyfeiriad twnnel y procsi a gaiff gysylltu, a ffurfweddwch yr ap i dderbyn y pennawd o’r cyfeiriad hwnnw’n unig.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Os bydd y cais hwnnw’n llwyddo o westeiwr nad yw’n brocsi, mae’r tarddiad yn ymddiried mewn pennawd y dylai ei anwybyddu. Trwsiwch y gwrandäwr cyn cyffwrdd â’r ap. Mae gwrthodiad yn ganlyniad llawer gwell na llinell log yn cario cyfeiriad ffug.

Cadwch y tarddiad yn gyrraeddadwy o un man yn union

Rhwymwch wrandäwr y tarddiad i gyfeiriad y twnnel neu ei amgáu â mur tân tuag at y procsi, yna cadarnhewch beth sy’n gwrando mewn gwirionedd. Mae gwasanaeth a gychwynnir â rhwymiad wildcard yn derbyn cysylltiadau ar bob rhyngwyneb sydd gan y gwesteiwr, gan gynnwys un y gwnaethoch anghofio ei fod yn llwyadwy. Y tabl gwrando yw’r gwir sylfaenol, nid y ffeil ffurfweddu y bwriedech ei chymhwyso. Os yw’r rhwymiad wildcard yn fwriadol, rhaid i’r mur tân fod y gydran sy’n ei gyfyngu o hyd.

ss -ltnp | grep -E ':(80|443)'

Gwnewch yr un adolygiad ar gyfer rhyngwynebau rheoli, sef yr amlygiad damweiniol arferol. Yna ysgrifennwch y ddau fodel ar wahân: y safle cyhoeddus drwy’r procsi, a’r rhyngwyneb gweinyddu sy’n gyrraeddadwy drwy’r twnnel yn unig. Nid yw’r frawddeg bod y gweinydd y tu ôl i VPN yn dweud dim o hynny.