SSL VPN või TLS-ümbris? Võrrelge piiri, mis ei pidanud vastu

Kaks lahendust võivad TLS-i pordil 443 käitada ja tähendada sellega täiesti erinevaid asju. Ümbris kaitseb üht seadistatud ühendust kohaliku pordi ja kaugema backendi vahel. Võrguühenduse lahendus kannab valitud liiklust ja muudab seda, kuhu klient jõuab. Tehke allolevad neli kontrolli järjekorras ja te teate, kumba vaatate, millest tavaliselt piisab, et teada, milline kiht ebaõnnestus.

Alustage ühendusest, mille te tegelikult seadistasite

Kirjutage üles esi- ja tagakülg enne toodete võrdlemist. Ümbris kuulab kohalikul aadressil ja edastab kaugemale või käivitab programmi kaugemal küljel, ja see paar on kogu tema leping. Kliendi teised rakendused ei tea sellest midagi, kui te neid sellele ei suuna. See ei ole tööriista puudus, see ongi tööriista otstarve.

Võrgulahenduse leping on teistsugune ja väljendub marsruutides ja poliitikas, mitte pordipaaris.

Pange tähele, kumb kirjeldus teie skeemiga sobib. Kui vastus on üks pordikaardistus serdiga keskel, on teil ümbris ka siis, kui toote nimi ütleb VPN. Kui vastus on tunneliliides ja marsruudi muudatused, on teil võrgulahendus ka siis, kui see töötab pordil 443.

Kontrollige, millega ümbris ühendub

Lugege kuulamise ja ühendamise seadeid ja järgige neid tegeliku backendini. Andmebaasi pordile edastav ümbris ei ava veebirakendust, ja programmi käivitav ümbris käivitab just selle programmi, mitte ei avalda kõike muud, mida host käitab. Backend on ainus, mida ümbris teab.

Seejärel otsustage, kas edastatav voog on pärast TLS-i lõppu lihttekst. Ümbritsetud ühendus kaitseb lõiku kahe ümbrise vahel, ja see, mis juhtub pärast kaugemat ümbrist, on eraldi küsimus. Seetõttu on millegi ümbritsemine, millel on juba oma kaitse, mõnikord mõistlik ja mõnikord lihtsalt lisaliikuvad osad. Uurige järgmist hüpet, mitte ärge eeldage kumbagi vastust.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Esimene käsk näitab serdi, mida kliendile tegelikult pakutakse, ja teine näitab, mis hostil kuulab. Võrrelge seda serdi nime oodatuga enne, kui loete midagi muud.

Kontrollige, millist liiklust lahendus kannab

Võrguühenduse lahendused kannavad valitud liiklust ja lõimuvad kliendi marsruutimise ja juurdepääsupoliitikaga. Vastuvõtt ei ole volitus, seega autenditud ühendus vajab endiselt otsust, millistele ressurssidele see pääseb. Kliendita portaal on kolmas mudel, mis esindab toetatud toiminguid, ilma et see kunagi ilmuks tun liidesena.

Tootesilt ei ütle, millise nendest mudelitest te ostsite, ja pordinumber ütleb veel vähem.

Kihilisus on võimalik ja ei tohiks võrdlust segadusse ajada. Tunneliprotokolli saab enda ümber keerata TLS-i toetatud TCP-paigutuses, mis lisab tunnelile kihi, muutmata ümbrist tunneliks. See on disainiotsus oma jõudluse ja tõrkekäitumisega ning väärib skeemil rida. Kirjutage see üles ja võrrelge siis alusmudeleid, mitte välimist ümbrist.

Kontrollige nurjuvat piiri, mitte silti

Kirjutage ühe ebaõnnestunud katse faktid üles: esikülje aadress, kuulaja, identiteet, mida klient kontrollis, backendi siht ja taotletud toiming. Õnnestunud kätlemine tõestab, et välimine TLS lõppes, ja ei ütle backendist midagi. Backendi tagasilükkamine on teine sündmus kui esikülje identiteedi tõrge, ja kumbki ei parane, kui eemaldada kliendilt -verify_return_error. Võrrelge sarnast sarnasega, sest edu teise hostinime või pordi kaudu ei näita, et tingimused olid samad.

Port 443 on kokkulepe, mis laseb TLS-il vahendavatest seadmetest läbi. See ei muuda suvalist liiklust poliitikaseadme jaoks veebipäringu sarnaseks.

Lõpetage ühe lausega, mis nimetab otspunktide paari, mida kantakse, millised rakendused seda kasutavad ja millist luba sihtkoht rakendab. Lahendus, mis ei suuda neid nelja lünka täita, ei ole valmis, mida iganes selle silt väidab. See lause on ka kiireim viis selgitada lahendust sellele, kellele tulemüür kuulub.