TLS VPN versus IPsec: viis välja, mida tasub üle vaadata

TLS VPN-ide seadmine IPsec VPN-ide vastu protokollipere järgi vastab küsimusele, mida keegi ei küsinud, ja viitab tavaliselt konstruktsioonile, millest mõlemad pered loobusid aastaid tagasi. Mida ülevaataja tegelikult hinnata saab, on läbiräägitud kaitse, partneri identiteet, kliendi mudel ja avatud teenus. Need neli asja on juurutuses nähtavad ja ükski neist ei tulene toote sildist. Küsige viit välja ja vestlus muutub konkreetseks.

Viis välja ja silt ei ole üks neist

Esimene väli on toetatud tarkvara versioon, sest protokolli kirjeldus ilma versioonita on brošüür. Teine on läbiräägitud protokolli versioon, mis otsustab, millised konstruktsioonid üldse saadaval on. Kolmas on kaitsekomplekt, neljas autentimismeetod nii partnerile kui ka kasutajale ja viies juurdepääsuulatus, mille toode pärast lubamist annab.

SSL VPN-i silt katab vähemalt kolme erinevat toodet: täielik võrguklient, rakenduseproksi ja vana brauseripõhine portaal. Need avavad erinevaid teenuseid ja nurjuvad erinevalt, seega ei saa silt ulatuse välja asendada.

Mida autenditud krüpteerimine tegelikult muudab

TLS 1.3 nõuab autenditud krüpteerimist, mis eemaldab protokollist vanema MAC-then-encrypt-konstruktsiooni, selle asemel et jätta see valikuliseks. IPsec ESP-l on autenditud krüpteerimise komplektid olnud sama kaua, kusjuures AES-GCM on määratletud omaette RFC-s. Mõlemas peres tuleb garantii läbiräägitud komplektist, mitte pere nimest, mistõttu algab väljade loetelu versiooniga. Ülevaatajal, kes ei oska komplekti nimetada, pole midagi hinnata.

Seepärast on ajalooline võrdlus eksitav. Juurutus, mis on kinni pandud vanasse TLS-i versiooni CBC-komplektiga, ja teine, mis jooksutab TLS 1.3-te AEAD-komplektiga, ei ole sama turbepositsioon, kuigi mõlemad on TLS VPN-id. Sama lõhe on IPsec-i poolel kaasaegse ESP-komplekti ja vanema kombinatsiooni vahel.

Lugege läbiräägitud väärtusi, mitte kavatsetud konfiguratsiooni. Allolevad käsud näitavad, millele töötav lõpp-punkt ja töötav tunnel tegelikult kokku leppisid.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Kui lõpp-punkt ei taha TLS 1.3 üle rääkida, on see leid, mitte eelistus. Kui tunnel loetleb komplekti, mida te ei oodanud, on oluline konfiguratsioon see, mille partnerid valisid, mitte see, mis on mallis.

Partneri identiteet on eraldi küsimus

Krüpteerimine ilma kinnitatud partnerita kaitseb liiklust vaatlejate eest ja annab selle üle sellele, kes ühendusele vastas. Partneri autentimine küsib, millist identiteeti oodatakse, milline usaldusmaterjal seda valideerib ja kuidas klient käitub, kui vastus ei klapi. Sertifikaadiahel, kinnitatud võti ja eelnevalt jagatud saladus on kolm erinevat vastust kolme erineva halduskuluga.

Seejärel esitage samad küsimused kasutaja või seadme kohta. Lüüs, mis autendib masina ja laseb sisse iga kasutaja, või vastupidi, omab kindlat positsiooni, mis tuleks üles kirjutada, mitte eeldada. Pärast lubamist rakendatavad ressursiõigused kuuluvad samasse välja, sest autentimine ei ole autoriseerimine.

Hostinime ja sertifikaadi kontrollide säilitamine on tähtsam kui sisselogimisakna tuttavlikkus. Klient, mis on seadistatud kontrolli eirama, on eemaldanud ainsa sammu, mis eristab teie lüüsi veenvast jäljendusest.

Piir, mille toode avab

Kliendita portaal proxy'b valitud rakendusetoiminguid lüüsi kaudu, nii et kasutaja jõuab liideseni, mitte võrku. Täistunneli klient kannab seda, mille valivad tema marsruudid ja filtreerimispoliitika, mis on palju suurem pind. Kahe võrdlemine protokolli tugevuse järgi jätab tähelepanuta erinevuse selles, mida ründaja nende kaudu kätte saab. Üks avab rakenduseliidese, teine marsruuditud võrgu, ja need kaks nõuavad erinevaid ülevaatusi.

Küsige, milline teenus on avatud, millised toimingud on lubatud ja mida lüüs ise kuulab. Haldusliides, mis on kättesaadav samalt aadressilt kui kasutajaportaal, on juurutuse leid, ja ükski protokollivalik ei korva seda.

Rakendusepõhine ulatus kitsendab pinda veelgi ja muudab ka tõrkekäitumist, kui tunnel katkeb. Disain, mis eeldab täistunneli ulatust, läheb katki viisidel, mida rakendusepõhine disain ei tunne, ja tugikoormus järgneb.

Otsustage tõrke tulemus ja elutsükkel

Mis juhtub, kui autentimine või kaitse pole saadaval, on poliitikaotsus, mis kuulub ülevaatuse juurde. Blokeeritud tulemus ja teatamata otsene varulahendus on erinevate tagajärgedega ning erinevus on funktsioonide loendis nähtamatu. Märkige kavatsetud käitumine selle ressursi kõrvale, mida see kaitseb.

Lisage lüüsi plaastri- ja tugielutsükkel, selle lubatud välisfunktsioonid ja klientide värskendustee. Õige protokollivalik ei tee halvasti juurutatud teenust turvaliseks ja enamik juhtumeid elab just selles lõhes, mitte komplektis.

Kirjutage viis välja, tõrkepoliitika ja elutsükli omanik ühele lehele. See leht on ülevaatus; protokolliperede võrdlus on arvamus.