VPN TLS yn erbyn IPsec: y pum maes sy'n werth eu hadolygu
Cymharwch VPN TLS a VPN IPsec yn ôl rhyddhâd, fersiwn protocol, siwt, hunaniaeth y sawdl a'r cwmpas a ddatguddir, ynghyd â chanlyniad methiant a gyflunwyd gennych mewn gwirionedd.
Mae graddio VPN TLS yn erbyn VPN IPsec yn ôl teulu protocol yn ateb cwestiwn na ofynnodd neb, ac fel arfer yn nodi adeiladwaith y rhoddodd y ddau deulu'r gorau iddo flynyddoedd yn ôl. Yr hyn y gall adolygydd ei werthuso mewn gwirionedd yw'r amddiffyniad a drafodwyd, hunaniaeth y sawdl, model y cleient a'r gwasanaeth a ddatguddir. Mae'r pedwar peth hyn yn weladwy mewn defnyddiad, ac nid oes yr un ohonynt yn deillio o label y cynnyrch. Gofynnwch am bum maes a daw'r sgwrs yn bendant.
Pum maes, ac nid yw'r label yn un ohonynt
Y maes cyntaf yw'r rhyddhâd meddalwedd a gefnogir, oherwydd mae disgrifiad protocol heb fersiwn yn daflen hysbysebu. Yr ail yw'r fersiwn protocol a drafodwyd, sy'n penderfynu pa adeiladweithiau sydd ar gael o gwbl. Y trydydd yw'r siwt amddiffyn, y pedwerydd yw'r dull dilysu ar gyfer y sawdl a'r defnyddiwr ill dau, a'r pumed yw'r cwmpas mynediad a roddir gan y cynnyrch ar ôl derbyn.
Mae label VPN SSL yn cwmpasu o leiaf dri chynnyrch gwahanol: cleient rhwydwaith llawn, dirprwy cymhwysiad a phorth hynafol yn seiliedig ar borwr. Maent yn datguddio gwasanaethau gwahanol ac yn methu'n wahanol, felly ni all y label gymryd lle'r maes cwmpas.
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
Beth mae amgryptio dilysedig yn ei newid mewn gwirionedd
Mae TLS 1.3 yn mynnu amgryptio dilysedig, sy'n tynnu'r adeiladwaith MAC-then-encrypt hŷn o'r protocol yn hytrach na'i adael yn ddewisol. Mae gan IPsec ESP siwtiau amgryptio dilysedig yr un mor hir, gyda AES-GCM wedi'i ddiffinio yn ei RFC ei hun. Yn y ddau deulu daw'r warant o'r siwt a drafodwyd yn hytrach nag o enw'r teulu, a dyna pam mae'r rhestr meysydd yn dechrau gyda fersiwn. Nid oes gan adolygydd na all enwi'r siwt unrhyw beth i'w werthuso.
Dyna pam mae'r gymhariaeth hanesyddol yn gamarweiniol. Nid yw defnyddiad wedi'i binio i hen fersiwn TLS â siwt CBC ac un sy'n rhedeg TLS 1.3 â siwt AEAD yr un sefyllfa ddiogelwch, er bod y ddau yn VPN TLS. Mae'r un rhaniad yn bodoli ar ochr IPsec rhwng siwt ESP fodern a chyfuniad hynafol.
Darllenwch y gwerthoedd a drafodwyd yn hytrach na'r ffurfweddiad a fwriadwyd gennych. Mae'r gorchmynion isod yn dangos beth y cytunodd pwynt terfyn byw a thwnnel byw arno mewn gwirionedd.
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasOs nad yw'r pwynt terfyn yn fodlon trafod TLS 1.3, canfyddiad yw hynny yn hytrach na dewis. Os yw'r twnnel yn rhestru siwt nad oeddech yn ei disgwyl, y ffurfweddiad sy'n cyfrif yw'r un a ddewiswyd gan y cymheiriaid, nid yr un sydd yn y templed.
Mae hunaniaeth y sawdl yn gwestiwn ar wahân
Mae amgryptio heb sawdl wedi'i wirio yn diogelu'r traffig rhag arsyllwyr ac yn ei drosglwyddo i bwy bynnag a atebodd y cysylltiad. Mae dilysu'r sawdl yn gofyn pa hunaniaeth a ddisgwylir, pa ddeunydd ymddiriedolaeth sy'n ei ddilysu, a sut mae'r cleient yn ymddwyn pan nad yw'r ateb yn cyfateb. Mae cadwyn tystysgrif, allwedd wedi'i phinio a chyfrinach a rennir ymlaen llaw yn dri ateb gwahanol gyda thri chost weithredol wahanol.
Yna gofynnwch yr un cwestiynau am y defnyddiwr neu'r ddyfais. Mae gan borth sy'n dilysu'r peiriant ac yn derbyn unrhyw ddefnyddiwr, neu'r gwrthwyneb, safiad penodol y dylid ei ysgrifennu yn hytrach na'i dybio. Mae caniatâd adnoddau a gymhwysir ar ôl derbyn yn rhan o'r un maes, oherwydd nid yw dilysu yn awdurdodi.
Mae cadw'r gwiriadau enw gwesteiwr a thystysgrif yn bwysicach na chyfarwyddyd y ffenestr fewngofnodi. Mae cleient sydd wedi'i ffurfweddu i anwybyddu'r gwiriad wedi tynnu'r un cam sy'n gwahaniaethu eich porth rhag dynwarediad credadwy.
Y ffin y mae'r cynnyrch yn ei datguddio
Mae porth heb gleient yn dirprwyo gweithrediadau cymhwysiad dethol drwy'r borth, felly mae'r defnyddiwr yn cyrraedd rhyngwyneb yn hytrach na rhwydwaith. Mae cleient twnnel llawn yn cario beth bynnag a ddewisir gan ei lwybrau a'i bolisi hidlo, sy'n arwyneb llawer mwy. Mae cymharu'r ddau yn ôl cryfder protocol yn colli'r gwahaniaeth yn yr hyn y gall ymosodwr ei gyrraedd drwyddynt. Mae un yn datguddio rhyngwyneb cymhwysiad, y llall yn datguddio rhwydwaith wedi'i lwybr, ac mae'r ddau angen adolygiadau gwahanol.
Gofynnwch pa wasanaeth a ddatguddir, pa weithrediadau a awdurdodir a beth mae'r porth ei hun yn gwrando arno. Mae rhyngwyneb rheoli sy'n gyrraeddadwy o'r un cyfeiriad â'r porth defnyddiwr yn ganfyddiad defnyddiad, ac nid oes unrhyw ddewis protocol yn gwneud iawn am hynny.
Mae cwmpas fesul cymhwysiad yn culhau'r arwyneb ymhellach, ac mae hefyd yn newid ymddygiad methiant pan fydd y twnnel yn cwympo. Bydd dyluniad sy'n tybio cyrhaeddiad twnnel llawn yn torri mewn ffyrdd nad yw dyluniad fesul ap yn eu hadnabod, ac mae'r baich cymorth yn dilyn.
Penderfynwch ganlyniad y methiant a'r cylch bywyd
Mae'r hyn sy'n digwydd pan nad yw dilysu neu amddiffyn ar gael yn benderfyniad polisi sy'n perthyn i'r adolygiad. Mae canlyniad wedi'i rwystro a dychweliad uniongyrchol heb ei gyhoeddi yn cael canlyniadau gwahanol, ac mae'r gwahaniaeth yn anweladwy mewn rhestr nodweddion. Nodwch yr ymddygiad a fwriadwyd wrth ymyl yr adnodd y mae'n ei amddiffyn.
Cynhwyswch gylch bywyd clytio a chymorth y porth, ei nodweddion allanol wedi'u galluogi a llwybr diweddaru'r cleientiaid. Nid yw dewis protocol cywir yn gwneud gwasanaeth a osodwyd yn wael yn ddiogel, ac mae'r rhan fwyaf o ddigwyddiadau yn byw yn y bwlch hwnnw yn hytrach nag yn y siwt.
Ysgrifennwch y pum maes, y polisi methiant a pherchennog y cylch bywyd ar un dudalen. Mae'r dudalen honno'n adolygiad; mae cymhariaeth teuluoedd protocol yn farn.