SSL VPN neu lapwyr TLS? Cymharwch y ffin a fethodd

Gall dau gynllun redeg TLS ar borth 443 a golygu pethau hollol wahanol wrth hynny. Mae lapwyr yn gwarchod un cysylltiad a ffurfweddwyd rhwng porth lleol a backend pell. Mae cynllun mynediad rhwydwaith yn cludo traffig dethol ac yn newid yr hyn y gall y cleient ei gyrraedd. Gweithiwch drwy'r pedair gwiriad isod yn eu trefn a byddwch yn gwybod pa un yr ydych yn edrych arno, sy'n ddigon fel arfer i wybod pa haen a fethodd.

Dechreuwch â'r cysylltiad a ffurfweddwyd gennych

Nodwch y pen blaen a'r pen ôl cyn cymharu cynnyrch. Mae lapwyr yn gwrando ar gyfeiriad lleol ac yn anfon ymlaen i un pell, neu'n cychwyn rhaglen ar yr ochr bell, a'r pâr hwnnw yw ei holl gontract. Nid yw apiau eraill y cleient yn gwybod dim amdano oni bai eich bod yn eu cyfeirio ato. Nid diffyg yn yr offeryn yw hyn, dyma beth y mae'r offeryn ar ei gyfer.

Mae contract cynllun rhwydwaith yn wahanol, ac fe'i mynegir mewn llwybrau a pholisi yn hytrach nag mewn pâr o borthladdoedd.

Sylwch pa un o'r dau ddisgrifiad sy'n cyfateb i'ch diagram. Os mai un mapio porth gyda thystysgrif yn y canol yw'r ateb, mae gennych lapwyr hyd yn oed pan fo enw'r cynnyrch yn dweud VPN. Os mai rhyngwyneb twnnel a newidiadau llwybr yw'r ateb, mae gennych gynllun rhwydwaith hyd yn oed pan fo'n rhedeg ar 443.

Gwiriwch beth y mae'r lapwyr yn cysylltu ag ef

Darllenwch y gosodiadau gwrando a chysylltu a'u dilyn at y backend go iawn. Nid yw lapwyr sy'n anfon ymlaen i borth cronfa ddata yn agor ap gwe, ac mae lapwyr sy'n gweithredu rhaglen yn cychwyn y rhaglen honno yn lle cyhoeddi popeth arall y mae'r gwesteiwr yn ei redeg. Y backend yw'r unig beth y mae'r lapwyr yn gwybod amdano.

Yna penderfynwch a yw'r ffrwd a gludir yn destun plaen ar ôl i TLS ddod i ben. Mae cysylltiad wedi'i lapio yn gwarchod y segment rhwng y ddau lapwyr, ac mae'r hyn sy'n digwydd ar ôl y lapwyr pell yn gwestiwn ar wahân. Dyna pam mae lapio rhywbeth sydd eisoes â'i warchodwaith ei hun weithiau'n synhwyrol ac weithiau'n ddim ond rhannau symudol ychwanegol. Archwiliwch y naid nesaf yn lle tybio'r naill ateb na'r llall.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Mae'r gorchymyn cyntaf yn dangos y dystysgrif a gynigir i'r cleient mewn gwirionedd, a'r ail yn dangos beth sy'n gwrando ar y gwesteiwr. Cymharwch enw'r dystysgrif honno â'r un yr oeddech yn ei ddisgwyl cyn darllen unrhyw beth arall.

Gwiriwch pa draffig y mae'r cynllun yn ei gludo

Mae cynlluniau mynediad rhwydwaith yn cludo traffig dethol ac yn integreiddio â llwybro a pholisi mynediad y cleient. Nid yw derbyn yn awdurdodiad, felly mae angen penderfyniad o hyd ar gysylltiad dilys ynghylch pa adnoddau y caiff eu cyrraedd. Mae porth heb gleient yn drydydd model sy'n dirprwyo gweithrediadau a gefnogir heb byth ymddangos fel rhyngwyneb tun.

Nid yw label y cynnyrch yn dweud pa un o'r modelau hynny a brynwyd gennych, ac mae rhif y porth yn dweud llai fyth.

Mae haenu yn bosibl ac ni ddylai ddryslyd y gymhariaeth. Gall protocol twnnel ei hun gael ei lapio mewn TLS mewn trefniant TCP a gefnogir, sy'n ychwanegu haen o amgylch y twnnel heb droi'r lapwyr yn dwll. Mae hynny'n ddewis dylunio â'i ymddygiad perfformiad a methiant ei hun, ac mae'n haeddu llinell yn y diagram. Cofnodwch ef, yna cymharwch y modelau sylfaenol yn hytrach na'r lapwyr allanol.

Gwiriwch y ffin a fethodd, nid y label

Ysgrifennwch y ffeithiau ar gyfer un ymgais a fethodd: cyfeiriad y pen blaen, y gwrandäwr, yr hunaniaeth a wiriwyd gan y cleient, targed y backend a'r weithred a ofynnwyd amdani. Mae ysgydwad llaw sy'n llwyddo yn profi bod y TLS allanol wedi cwblhau ac nid yw'n dweud dim am y backend. Mae gwrthodiad backend yn ddigwyddiad gwahanol i fethiant hunaniaeth y pen blaen, ac ni wella'r naill na'r llall drwy ddileu -verify_return_error o'r cleient. Cymharwch debyg â thebyg, oherwydd nid yw llwyddiant drwy enw gwesteiwr neu borth arall yn dangos bod yr amodau yr un peth.

Mae porth 443 yn gonfensiwn sy'n gadael TLS drwy flwch canol. Nid yw'n gwneud traffig mympwyol yn debyg i gais gwe i ddyfais polisi.

Gorffennwch ag un frawddeg sy'n enwi'r pâr pen draw, yr hyn a gludir, pa apiau sy'n ei ddefnyddio a pha ganiatâd y mae'r gyrchfan yn ei orfodi. Nid yw cynllun na all lenwi'r pedwar bwlch hynny wedi gorffen, beth bynnag y mae ei label yn ei honni. Y frawddeg honno hefyd yw'r ffordd gyflymaf o esbonio'r cynllun i bwy bynnag sy'n berchen ar y mur gwarchod.