SSL VPN eller TLS-omslag? Sammenlign grænsen, der svigtede

To designs kan køre TLS på port 443 og mene helt forskellige ting med det. Et omslag beskytter én konfigureret forbindelse mellem en lokal port og en fjern backend. Et netværksadgangsdesign bærer udvalgt trafik og ændrer, hvad klienten kan nå. Gå de fire kontroller nedenfor igennem i rækkefølge, og du ved, hvilken af dem du ser på, hvilket normalt er nok til at vide, hvilket lag der svigtede.

Start med den forbindelse, du faktisk konfigurerede

Skriv frontend og backend ned, før du sammenligner produkter. Et omslag lytter på en lokal adresse og videresender til en fjern, eller starter et program på den fjerne side, og det par er hele dets kontrakt. Klientens andre programmer ved intet om det, medmindre du peger dem på det. Det er ikke en mangel ved værktøjet, det er det, værktøjet er til.

Et netværksdesigns kontrakt er anderledes, og den udtrykkes i ruter og politik snarere end i et portpar.

Bemærk, hvilken af de to beskrivelser der passer på dit diagram. Hvis svaret er én portmapping med et certifikat i midten, har du et omslag, selv når produktnavnet siger VPN. Hvis svaret er en tunnelinterface og ruteændringer, har du et netværksdesign, selv når det kører på 443.

Kontroller, hvad omslaget forbinder til

Læs lytte- og forbindelsesindstillingerne, og følg dem til den rigtige backend. Et omslag, der videresender til en databaseport, åbner ikke en webapplikation, og et omslag, der kører et program, starter det program i stedet for at udgive alt andet, værten kører. Backend er det eneste, omslaget ved noget om.

Beslut derefter, om den videresendte strøm er klartekst, når TLS slutter. En omsluttet forbindelse beskytter segmentet mellem de to omslag, og hvad der sker efter det fjerne omslag, er et separat spørgsmål. Derfor er det nogle gange fornuftigt at omslutte noget, der allerede har sin egen beskyttelse, og nogle gange bare ekstra bevægelige dele. Undersøg det næste hop i stedet for at antage et af de to svar.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Den første kommando viser det certifikat, en klient faktisk tilbydes, og den anden viser, hvad der lytter på værten. Sammenlign det certifikatnavn med det, du forventede, før du læser noget andet.

Kontroller, hvilken trafik designet bærer

Netværksadgangsdesigns bærer udvalgt trafik og integrerer med klientens routing og adgangspolitik. Adgang er ikke autorisation, så en autentificeret forbindelse har stadig brug for en beslutning om, hvilke ressourcer den må nå. En klientløs portal er en tredje model, der proxier understøttede operationer uden nogensinde at optræde som et tun-interface.

Produktets etiket fortæller ikke, hvilken af de modeller du købte, og portnummeret fortæller endnu mindre.

Lagdeling er mulig og bør ikke forvirre sammenligningen. En tunnelprotokol kan selv omsluttes i TLS i et understøttet TCP-arrangement, hvilket tilføjer et lag omkring tunnelen uden at gøre omslaget til tunnelen. Det er et designvalg med sin egen ydeevne og fejlopførsel, og det fortjener en linje i diagrammet. Noter det, og sammenlign derefter de underliggende modeller i stedet for det ydre omslag.

Kontroller den svigtende grænse, ikke etiketten

Skriv fakta ned for ét mislykket forsøg: frontend-adresse, lytter, den identitet klienten verificerede, backend-målet og den ønskede operation. Et vellykket handshake beviser, at det ydre TLS blev gennemført, og siger intet om backend. En backend-afvisning er en anden hændelse end en identitetsfejl i frontend, og ingen af dem bliver bedre af at fjerne -verify_return_error fra klienten. Sammenlign ens med ens, fordi en succes gennem et andet værtsnavn eller en anden port ikke viser, at betingelserne var de samme.

Port 443 er en konvention, der lader TLS passere mellembokse. Den får ikke vilkårlig trafik til at ligne en webforespørgsel for en policy-enhed.

Afslut med én sætning, der navngiver endepunktsparret, hvad der bæres, hvilke applikationer der bruger det, og hvilken tilladelse destinationen håndhæver. Et design, der ikke kan udfylde de fire huller, er ikke færdigt, uanset hvad dets etiket hævder. Den sætning er også den hurtigste måde at forklare designet til den, der ejer firewallen.