A yw lapio TLS yn rhoi rhwydwaith preifat i chi? Fel arfer nac ydy

Mae TLS yn amddiffyn sianel rhwng dau ben ac nid yw’n dweud dim am ba wasanaethau sydd y tu mewn iddi. Mae lapio yn troi’r sianel honno’n un trosglwyddydd wedi’i ffurfweddu, ar gyfer un gwrandäwr, at un cyrchfan. Mae cynnyrch a werthir fel SSL VPN fel arfer yn ychwanegu rhyngwyneb, tabl llwybrau a model mynediad o amgylch yr un elfen syml. Cymysgu’r ddau yw’r ffordd y caiff tiwnel sy’n gweithio ei gamgymryd am fynediad i rwydwaith.

Beth mae lapio gwasanaeth yn ei gysylltu mewn gwirionedd

Mae lapio yn gwrando ar borth lleol ac yn trosglwyddo’r hyn a ddaw at gyrchfan wedi’i ffurfweddu, naill ai gwesteiwr a phorth neu raglen leol. Dewisir y gyrchfan honno gan bwy bynnag a ysgrifennodd y ffeil ffurfweddu, un gwrandäwr ar y tro. Nid yw gosod y pecyn yn creu unrhyw lwybrau, rhyngwyneb rhithwir nac unrhyw gyrhaeddiad at unrhyw beth nad yw wedi’i restru’n benodol. Darllenwch y ffurfweddiad cyn disgrifiad y pecyn, oherwydd mae’r disgrifiad yn cwmpasu dosbarth o ddefnydd ac mae’r ffeil yn cwmpasu eich un chi.

Felly’r cwestiwn defnyddiol am lapio yw nid a yw’n amgryptio, ond beth sydd ar bob pen i’r gadwyn y mae’n ei hadeiladu.

application -> local listener -> TLS connection -> remote listener -> configured backend

Darllenwch y gadwyn honno o’r ffurfweddiad yn hytrach nag o’r enw marchnata. Mae pob saeth yn naid rwydwaith ar wahân gyda’i chyfeiriad a’i rheolau mynediad ei hun.

Darganfyddwch ble mae’r sianel TLS yn dod i ben

Os yw lapio yn terfynu TLS, mae popeth y mae’n ei drosglwyddo ymlaen yn gysylltiad newydd â phriodweddau newydd. Gall y ffrwd fod yn destun clir ar segment preifat, neu gall gario protocol gwarchodedig arall y tu mewn iddi. Tybio’r naill neu’r llall heb ddarllen ffurfweddiad y backend yw’r ffordd y mae pobl yn dod i’r casgliad bod y haen allanol yn amddiffyn data nad yw byth yn ei weld eto. Mae’r naid a drosglwyddir yn haeddu ei harchwiliad ei hun, ar ei chyfeiriad a’i phorth ei hun.

Gwiriwch y gwrandäwr a’r backend ar wahân, oherwydd nid yw ysgwyd llaw sy’n llwyddo wrth y drws ffrynt yn dweud dim am y gwasanaeth y tu ôl iddo.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Mae’r gorchymyn cyntaf yn dangos pa broses sy’n berchen ar y porth ac ar ba gyfeiriad y mae’n gwrando. Mae’r ail yn argraffu’r dystysgrif y mae’r cleient yn ei chael mewn gwirionedd, sef y gwiriad hunaniaeth na all rhif porth ei ddisodli.

Beth mae VPN llwybredig yn ei ychwanegu nad yw lapio yn ei wneud

Mae VPN llwybredig yn gosod rhyngwyneb, yn cymryd perchnogaeth ar ragddodiaid a ddewiswyd ac yn integreiddio â llwybreiddio a pholisi mynediad y gwesteiwr. Mae pob rhaglen ar y peiriant yn elwa heb wybod bod y tiwnel yn bodoli. Mae lapio yn rhoi’r cyrhaeddiad hwnnw i un gwrandäwr wedi’i ffurfweddu ac yn stopio yno.

Mae derbyn yn ar wahân eto. Mae VPN sy’n dilysu cleient yn dal i fod angen awdurdodiad sy’n dweud pa adnoddau y caiff y cleient eu cyrraedd, ac mae lapio sy’n dilysu cymar yn dal i fod angen backend sy’n gorfodi ei ganiatadau ei hun.

Mae cyfuniad cyfreithlon: protocol VPN a gariwyd y tu mewn i lapio TLS ar drefniant TCP sy’n cael ei gefnogi’n fwriadol. Mae hynny’n pentyrru dwy haen, ac nid yw’n gwneud lapio a VPN yn yr un math o wrthrych.

Cymharwch y ffin sy’n methu

Nodwch gyfeiriad y pen ffrynt, y gwrandäwr, hunaniaeth y cymar, targed y backend a gweithrediad y rhaglen cyn newid unrhyw beth. Yna cymharwch debyg â thebyg: nid yw llwyddiant trwy enw gwesteiwr neu borth gwahanol yn profi bod amodau’r mur tân a’r dystysgrif yn union yr un fath.

Ni ddylid byth trwsio cais backend a wrthodwyd trwy analluogi gwiriad hunaniaeth y pen ffrynt. Mae hynny’n cyfnewid methiant awdurdodiad y gellir ei ddiagnosio am fethiant ymddiriedaeth na ellir ei ddiagnosio.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Mae pinio’r enw i gyfeiriad a ddewiswyd yn gwahanu datrysiad enwau oddi wrth gyrhaeddiad, a dyna fel arfer y ffordd gyflymaf i ddweud pa un o’r ddau sydd wedi torri.

Mae’r gymhariaeth sy’n cyfrif yn enwi’r pâr pen-i-ben a warchodir, y llwyth a gariwyd, y rhaglenni sy’n ei ddefnyddio a’r caniatâd a orfodir yn y gyrchfan. Mae TLS yn cyfrannu at y disgrifiad hwnnw heb ei gwblhau.