SSL VPN ή περιτύλιγμα TLS; Συγκρίνετε το όριο που απέτυχε

Δύο σχέδια μπορούν να τρέχουν TLS στη θύρα 443 και να εννοούν εντελώς διαφορετικά πράγματα. Ένα περιτύλιγμα προστατεύει μία διαμορφωμένη σύνδεση ανάμεσα σε μια τοπική θύρα και ένα απομακρυσμένο backend. Ένα σχέδιο πρόσβασης δικτύου μεταφέρει επιλεγμένη κίνηση και αλλάζει το τι μπορεί να φτάσει ο πελάτης. Κάντε τους τέσσερις ελέγχους παρακάτω με τη σειρά και θα ξέρετε ποιο από τα δύο βλέπετε, κάτι που συνήθως αρκεί για να ξέρετε ποιο επίπεδο απέτυχε.

Ξεκινήστε από τη σύνδεση που όντως διαμορφώσατε

Σημειώστε το μπροστινό και το πίσω άκρο πριν συγκρίνετε προϊόντα. Ένα περιτύλιγμα ακούει σε μια τοπική διεύθυνση και προωθεί σε μια απομακρυσμένη, ή ξεκινά ένα πρόγραμμα στην απομακρυσμένη πλευρά, και αυτό το ζεύγος είναι όλο του το συμβόλαιο. Οι άλλες εφαρμογές του πελάτη δεν γνωρίζουν τίποτα γι' αυτό, εκτός αν τις κατευθύνετε σε αυτό. Αυτό δεν είναι μειονέκτημα του εργαλείου, γι' αυτό είναι το εργαλείο.

Το συμβόλαιο ενός σχεδίου δικτύου είναι διαφορετικό και εκφράζεται σε διαδρομές και πολιτική, όχι σε ένα ζεύγος θυρών.

Προσέξτε ποια από τις δύο περιγραφές ταιριάζει με το διάγραμμά σας. Αν η απάντηση είναι μία αντιστοίχιση θύρας με πιστοποιητικό στη μέση, έχετε περιτύλιγμα ακόμη και όταν το όνομα του προϊόντος λέει VPN. Αν η απάντηση είναι μια διεπαφή σήραγγας και αλλαγές διαδρομών, έχετε σχέδιο δικτύου ακόμη και όταν τρέχει στη 443.

Ελέγξτε σε τι συνδέεται το περιτύλιγμα

Διαβάστε τις ρυθμίσεις ακρόασης και σύνδεσης και ακολουθήστε τις ως το πραγματικό backend. Ένα περιτύλιγμα που προωθεί σε θύρα βάσης δεδομένων δεν ανοίγει μια διαδικτυακή εφαρμογή, και ένα περιτύλιγμα που εκτελεί ένα πρόγραμμα ξεκινά αυτό το πρόγραμμα αντί να δημοσιεύει όλα τα άλλα που τρέχει ο υπολογιστής. Το backend είναι το μόνο που γνωρίζει το περιτύλιγμα.

Έπειτα αποφασίστε αν η ροή που προωθείται είναι απλό κείμενο όταν τελειώσει το TLS. Μια περιτυλιγμένη σύνδεση προστατεύει το τμήμα ανάμεσα στα δύο περιτυλίγματα, και το τι συμβαίνει μετά το απομακρυσμένο περιτύλιγμα είναι ξεχωριστό ζήτημα. Γι' αυτό το περιτύλιγμα κάποιου που κουβαλά ήδη τη δική του προστασία είναι μερικές φορές λογικό και μερικές φορές απλώς επιπλέον κινούμενα μέρη. Εξετάστε το επόμενο άλμα αντί να υποθέσετε οποιαδήποτε από τις δύο απαντήσεις.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Η πρώτη εντολή δείχνει το πιστοποιητικό που προσφέρεται πραγματικά σε έναν πελάτη, και η δεύτερη δείχνει τι ακούει στον υπολογιστή. Συγκρίνετε αυτό το όνομα πιστοποιητικού με αυτό που περιμένατε πριν διαβάσετε οτιδήποτε άλλο.

Ελέγξτε ποια κίνηση μεταφέρει το σχέδιο

Τα σχέδια πρόσβασης δικτύου μεταφέρουν επιλεγμένη κίνηση και ενσωματώνονται με τη δρομολόγηση και την πολιτική πρόσβασης του πελάτη. Η αποδοχή δεν είναι εξουσιοδότηση, οπότε μια πιστοποιημένη σύνδεση χρειάζεται ακόμη μια απόφαση για το ποιους πόρους επιτρέπεται να φτάσει. Μια πύλη χωρίς πελάτη είναι ένα τρίτο μοντέλο που μεσολαβεί για υποστηριζόμενες λειτουργίες χωρίς να εμφανίζεται ποτέ ως διεπαφή tun.

Η ετικέτα του προϊόντος δεν σας λέει ποιο από αυτά τα μοντέλα αγοράσατε, και ο αριθμός θύρας λέει ακόμη λιγότερα.

Η στρωμάτωση είναι δυνατή και δεν πρέπει να μπερδεύει τη σύγκριση. Ένα πρωτόκολλο σήραγγας μπορεί το ίδιο να τυλιχθεί σε TLS σε μια υποστηριζόμενη διάταξη TCP, κάτι που προσθέτει ένα επίπεδο γύρω από τη σήραγγα χωρίς να κάνει το περιτύλιγμα σήραγγα. Είναι μια σχεδιαστική επιλογή με δική της συμπεριφορά απόδοσης και αστοχίας, και αξίζει μια γραμμή στο διάγραμμα. Καταγράψτε την και μετά συγκρίνετε τα υποκείμενα μοντέλα και όχι το εξωτερικό περιτύλιγμα.

Ελέγξτε το όριο που απέτυχε, όχι την ετικέτα

Γράψτε τα γεγονότα για μία αποτυχημένη προσπάθεια: διεύθυνση μπροστινού άκρου, ακροατής, η ταυτότητα που επαλήθευσε ο πελάτης, ο στόχος backend και η λειτουργία που ζητήθηκε. Μια χειραψία που πετυχαίνει αποδεικνύει ότι το εξωτερικό TLS ολοκληρώθηκε και δεν λέει τίποτα για το backend. Μια απόρριψη από το backend είναι διαφορετικό γεγονός από μια αποτυχία ταυτότητας στο μπροστινό άκρο, και καμία από τις δύο δεν βελτιώνεται αν αφαιρέσετε το -verify_return_error από τον πελάτη. Συγκρίνετε όμοια με όμοια, γιατί μια επιτυχία μέσω άλλου ονόματος υπολογιστή ή θύρας δεν δείχνει ότι οι συνθήκες ήταν ίδιες.

Η θύρα 443 είναι μια σύμβαση που αφήνει το TLS να περάσει μέσα από ενδιάμεσα κουτιά. Δεν κάνει την αυθαίρετη κίνηση να μοιάζει με διαδικτυακό αίτημα για μια συσκευή πολιτικής.

Τελειώστε με μία πρόταση που ονομάζει το ζεύγος άκρων, τι μεταφέρεται, ποιες εφαρμογές το χρησιμοποιούν και ποια άδεια επιβάλλει ο προορισμός. Ένα σχέδιο που δεν μπορεί να συμπληρώσει αυτά τα τέσσερα κενά δεν είναι έτοιμο, ό,τι κι αν ισχυρίζεται η ετικέτα του. Αυτή η πρόταση είναι και ο ταχύτερος τρόπος να εξηγήσετε το σχέδιο σε όποιον κατέχει το τείχος προστασίας.