SSL VPN aŭ TLS-ĉirkaŭaĵo? Komparu la limon, kiu malsukcesis

Du dezajnoj povas funkciigi TLS sur pordo 443 kaj signifi per tio tute malsamajn aferojn. Ĉirkaŭaĵo protektas unu agorditan konekton inter loka pordo kaj fora backend. Ret-aliro-dezajno portas elektitan trafikon kaj ŝanĝas tion, kion la kliento povas atingi. Trapasu la kvar kontrolojn sube laŭ ordo kaj vi scios, kiun vi rigardas, kio kutime sufiĉas por scii, kiu tavolo malsukcesis.

Komencu per la konekto, kiun vi efektive agordis

Notu la antaŭan kaj postan finaĵojn antaŭ ol kompari produktojn. Ĉirkaŭaĵo aŭskultas sur loka adreso kaj plusendas al fora, aŭ lanĉas programon ĉe la fora flanko, kaj tiu paro estas ĝia tuta kontrakto. La aliaj aplikaĵoj de la kliento scias nenion pri ĝi, krom se vi direktas ilin al ĝi. Tio ne estas manko de la ilo, por tio la ilo ekzistas.

La kontrakto de ret-dezajno estas alia, kaj ĝi esprimiĝas per itineroj kaj politiko, ne per pordo-paro.

Rimarku, kiu el la du priskriboj kongruas kun via diagramo. Se la respondo estas unu porda mapado kun atestilo en la mezo, vi havas ĉirkaŭaĵon eĉ kiam la produkta nomo diras VPN. Se la respondo estas tunela interfaco kaj itinero-ŝanĝoj, vi havas ret-dezajnon eĉ kiam ĝi funkcias sur 443.

Kontrolu, al kio la ĉirkaŭaĵo konektiĝas

Legu la agordojn de aŭskultado kaj konektado kaj sekvu ilin al la reala backend. Ĉirkaŭaĵo plusendanta al datumbaza pordo ne malfermas retan aplikaĵon, kaj ĉirkaŭaĵo lanĉanta programon lanĉas ĝuste tiun programon anstataŭ publikigi ĉion alian, kion la gastiganto funkciigas. La backend estas la sola afero, pri kiu la ĉirkaŭaĵo scias.

Poste decidu, ĉu la plusendata fluo estas klarteksto post kiam TLS finiĝas. Ĉirkaŭita konekto protektas la segmenton inter la du ĉirkaŭaĵoj, kaj tio, kio okazas post la fora ĉirkaŭaĵo, estas aparta demando. Tial ĉirkaŭi ion, kio jam portas sian propran protekton, foje estas saĝe kaj foje nur pliaj moviĝantaj partoj. Kontrolu la sekvan salton anstataŭ supozi iun el la du respondoj.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

La unua komando montras la atestilon, kiun oni efektive proponas al kliento, kaj la dua montras, kio aŭskultas sur la gastiganto. Komparu tiun atestilan nomon kun la atendita antaŭ ol legi ion alian.

Kontrolu, kiun trafikon la dezajno portas

Ret-aliro-dezajnoj portas elektitan trafikon kaj integriĝas kun la itinera kaj alira politiko de la kliento. Akcepto ne estas rajtigo, do aŭtentigita konekto ankoraŭ bezonas decidon pri tio, kiujn rimedojn ĝi rajtas atingi. Klienta portalo estas tria modelo, kiu proksimumas subtenatajn operaciojn sen iam aperi kiel tun-interfaco.

La produkta etikedo ne diras, kiun el tiuj modeloj vi aĉetis, kaj la porda numero diras eĉ malpli.

Tavoligo eblas kaj ne devus konfuzi la komparon. Tunela protokolo mem povas esti ĉirkaŭita en TLS en subtenata TCP-aranĝo, kio aldonas tavolon ĉirkaŭ la tunelo sen igi la ĉirkaŭaĵon la tunelo. Tio estas dezajna elekto kun propra agado pri rendimento kaj fiasko, kaj ĝi meritas linion en la diagramo. Notu ĝin, poste komparu la subajn modelojn anstataŭ la eksteran ĉirkaŭaĵon.

Kontrolu la malsukcesan limon, ne la etikedon

Notu la faktojn por unu malsukcesa provo: antaŭa adreso, aŭskultanto, la identeco, kiun la kliento kontrolis, la backend-celo kaj la petita operacio. Sukcesa manpremo pruvas, ke la ekstera TLS finiĝis, kaj diras nenion pri la backend. Backend-rifuzo estas alia okazaĵo ol identeca fiasko ĉe la antaŭa flanko, kaj neniu el ili pliboniĝas per forigo de -verify_return_error el la kliento. Komparu similan kun simila, ĉar sukceso per alia gastigantnomo aŭ pordo ne montras, ke la kondiĉoj estis la samaj.

Pordo 443 estas konvencio, kiu lasas TLS trapasi mezajn skatolojn. Ĝi ne igas arbitran trafikon simili al reta peto por politika aparato.

Finu per unu frazo, kiu nomas la finan paron, kio estas portata, kiuj aplikaĵoj uzas ĝin kaj kiun permeson la celo devigas. Dezajno, kiu ne povas plenigi tiujn kvar spacojn, ne estas finita, kion ajn ĝia etikedo asertas. Tiu frazo ankaŭ estas la plej rapida maniero klarigi la dezajnon al tiu, kiu posedas la fajroŝirmilon.