SSL-VPN oder TLS-Wrapper? Vergleichen Sie die Grenze, die versagt hat

Zwei Designs können TLS auf Port 443 betreiben und damit völlig verschiedene Dinge meinen. Ein Wrapper schützt eine konfigurierte Verbindung zwischen einem lokalen Port und einem entfernten Backend. Ein Netzwerkzugriffsdesign trägt ausgewählten Verkehr und verändert, was der Client erreichen kann. Arbeiten Sie die vier Prüfungen unten der Reihe nach ab, und Sie wissen, welches der beiden Sie vor sich haben, was meist genügt, um zu wissen, welche Schicht versagt hat.

Beginnen Sie mit der Verbindung, die Sie tatsächlich konfiguriert haben

Notieren Sie Frontend und Backend, bevor Sie Produkte vergleichen. Ein Wrapper lauscht auf einer lokalen Adresse und leitet an eine entfernte weiter oder startet ein Programm auf der Gegenseite, und dieses Paar ist sein ganzer Vertrag. Die anderen Anwendungen des Clients wissen nichts davon, solange Sie sie nicht darauf zeigen lassen. Das ist kein Mangel des Werkzeugs, dafür ist das Werkzeug da.

Der Vertrag eines Netzwerkdesigns ist anders und drückt sich in Routen und Richtlinien aus, nicht in einem Portpaar.

Beachten Sie, welche der beiden Beschreibungen zu Ihrem Diagramm passt. Ist die Antwort ein Port-Mapping mit einem Zertifikat dazwischen, haben Sie einen Wrapper, selbst wenn der Produktname VPN sagt. Ist die Antwort eine Tunnelschnittstelle und geänderte Routen, haben Sie ein Netzwerkdesign, selbst wenn es auf 443 läuft.

Prüfen Sie, womit sich der Wrapper verbindet

Lesen Sie die Lausch- und Verbindungseinstellungen und folgen Sie ihnen zum echten Backend. Ein Wrapper, der an einen Datenbankport weiterleitet, öffnet keine Webanwendung, und ein Wrapper, der ein Programm startet, startet genau dieses Programm, statt alles andere zu veröffentlichen, was der Host ausführt. Das Backend ist das Einzige, worüber der Wrapper Bescheid weiß.

Entscheiden Sie dann, ob der weitergeleitete Strom Klartext ist, sobald TLS endet. Eine umschlossene Verbindung schützt das Segment zwischen den beiden Wrappern, und was nach dem fernen Wrapper passiert, ist eine separate Frage. Deshalb ist es manchmal sinnvoll, etwas zu umschließen, das bereits eigenen Schutz mitbringt, und manchmal sind es nur zusätzliche bewegliche Teile. Prüfen Sie den nächsten Sprung, statt eine der beiden Antworten anzunehmen.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Der erste Befehl zeigt das Zertifikat, das einem Client tatsächlich angeboten wird, und der zweite zeigt, was auf dem Host lauscht. Vergleichen Sie diesen Zertifikatsnamen mit dem erwarteten, bevor Sie irgendetwas anderes lesen.

Prüfen Sie, welchen Verkehr das Design trägt

Netzwerkzugriffsdesigns tragen ausgewählten Verkehr und integrieren sich in Routing und Zugriffsrichtlinie des Clients. Zulassung ist keine Autorisierung, daher braucht eine authentifizierte Verbindung weiterhin eine Entscheidung darüber, welche Ressourcen sie erreichen darf. Ein clientloses Portal ist ein drittes Modell, das unterstützte Vorgänge weiterleitet, ohne je als tun-Schnittstelle zu erscheinen.

Das Produktetikett sagt Ihnen nicht, welches dieser Modelle Sie gekauft haben, und die Portnummer sagt noch weniger.

Schichtung ist möglich und sollte den Vergleich nicht verwirren. Ein Tunnelprotokoll kann selbst in einer unterstützten TCP-Anordnung in TLS gehüllt werden, was eine Schicht um den Tunnel legt, ohne den Wrapper zum Tunnel zu machen. Das ist eine Designentscheidung mit eigenem Leistungs- und Fehlerverhalten, und sie verdient eine Zeile im Diagramm. Halten Sie sie fest und vergleichen Sie dann die zugrunde liegenden Modelle statt der äußeren Hülle.

Prüfen Sie die versagende Grenze, nicht das Etikett

Schreiben Sie die Fakten für einen fehlgeschlagenen Versuch auf: Frontend-Adresse, Listener, die vom Client geprüfte Identität, das Backend-Ziel und die angeforderte Operation. Ein erfolgreicher Handshake beweist, dass das äußere TLS abgeschlossen wurde, und sagt nichts über das Backend. Eine Backend-Ablehnung ist ein anderes Ereignis als ein Identitätsfehler im Frontend, und keines wird besser, indem man -verify_return_error beim Client weglässt. Vergleichen Sie Gleiches mit Gleichem, denn ein Erfolg über einen anderen Hostnamen oder Port zeigt nicht, dass die Bedingungen dieselben waren.

Port 443 ist eine Konvention, die TLS durch Middleboxes lässt. Sie macht beliebigen Verkehr nicht zu einer Webanfrage für ein Richtliniengerät.

Schließen Sie mit einem Satz, der das Endpunktpaar nennt, was übertragen wird, welche Anwendungen es nutzen und welche Berechtigung das Ziel durchsetzt. Ein Design, das diese vier Lücken nicht füllen kann, ist nicht fertig, was auch immer sein Etikett behauptet. Dieser Satz ist auch der schnellste Weg, das Design demjenigen zu erklären, der die Firewall besitzt.