Kas TLS-ümbris annab sulle privaatvõrgu? Tavaliselt mitte

TLS kaitseb kanalit kahe otspunkti vahel ega ütle midagi selle kohta, millised teenused selle sees asuvad. Ümbris muudab selle kanali üheks seadistatud edastajaks, ühe kuulaja jaoks, ühe sihtkoha poole. Tootena, mida müüakse nime all SSL VPN, lisandub tavaliselt liides, marsruuditabel ja juurdepääsumudel sama primitiivi ümber. Nende kahe segamine on see, kuidas töötav tunnel aetakse segi võrgu juurdepääsuga.

Mida teenuseümbris tegelikult ühendab

Ümbris kuulab kohalikul pordil ja edastab saabuva seadistatud sihtkohta, olgu selleks host ja port või kohalik programm. Selle sihtkoha valib see, kes seadistusfaili kirjutas, üks kuulaja korraga. Paketi paigaldamine ei loo ühtegi marsruuti, virtuaalset liidest ega kättesaadavust millelegi, mis pole selgesõnaliselt loetletud. Loe seadistust enne paketi kirjeldust, sest kirjeldus katab kasutusklassi ja fail katab sinu oma.

Seega pole ümbrise kohta kasulik küsimus see, kas see krüpteerib, vaid see, mis seisab selle ehitatava ahela kummaski otsas.

application -> local listener -> TLS connection -> remote listener -> configured backend

Loe seda ahelat seadistusest, mitte turundusnimest. Iga nool on eraldi võrguhüpe oma aadressi ja oma juurdepääsureeglitega.

Leia, kus TLS-kanal lõpeb

Kui ümbris lõpetab TLS-i, on kõik, mida see edasi edastab, uus ühendus uute omadustega. Voog võib olla privaatses segmendis lihttekstina või kanda sees teist kaitstud protokolli. Mõlema eeldamine ilma taustaprogrammi seadistust lugemata on see, kuidas inimesed jõuavad järeldusele, et välimine kiht kaitseb andmeid, mida see enam kunagi ei näe. Edastatud hüpe väärib omaette kontrolli, oma aadressil ja pordil.

Kontrolli kuulajat ja taustaprogrammi eraldi, sest esiuksel õnnestuv kätlemine ei ütle midagi selle taga oleva teenuse kohta.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Esimene käsk näitab, milline protsess porta omab ja mis aadressil see kuulab. Teine trükib sertifikaadi, mille klient tegelikult saab, ja see on identiteedikontroll, mida pordi number asendada ei saa.

Mida marsruuditud VPN lisab ja ümbris mitte

Marsruuditud VPN paigaldab liidese, võtab valitud prefikside omandi ja integreerub hosti marsruutimise ja juurdepääsupoliitikaga. Iga masina rakendus saab kasu, teadmata, et tunnel olemas on. Ümbris annab selle ulatuse ühele seadistatud kuulajale ja peatub seal.

Lubamine on jälle eraldi. Klienti autentiv VPN vajab endiselt autoriseerimist, mis ütleb, millistele ressurssidele klient pääseb, ja partnerit autentiv ümbris vajab endiselt taustaprogrammi, mis rakendab omaenda õigusi.

On olemas seaduslik kombinatsioon: VPN-protokoll, mida kantakse TLS-ümbrise sees sihilikult toetatud TCP-paigutuses. See kihistab kaks kihti ega tee ümbrisest ja VPN-ist sama tüüpi objekti.

Võrdle piiri, mis ebaõnnestub

Kirjuta üles esiotsa aadress, kuulaja, partneri identiteet, taustaprogrammi siht ja rakenduse toiming enne, kui midagi muudad. Seejärel võrdle sarnast sarnasega: edu teise hostinime või pordi kaudu ei tõesta, et tulemüüri ja sertifikaadi tingimused olid identsed.

Tagasilükatud taustaprogrammi päringut ei tohiks kunagi parandada esiotsa identiteedikontrolli väljalülitamisega. See vahetab diagnoositava autoriseerimisvea diagnoosimatu usaldusvea vastu.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Nime kinnitamine valitud aadressile eraldab nimelahenduse kättesaadavusest, mis on tavaliselt kiireim viis teada saada, kumb kahest on katki.

Võrdlus, millel on tähtsust, nimetab kaitstud otspunktide paari, kantava kasuliku koormuse, seda kasutavad rakendused ja sihtkohas rakendatava loa. TLS aitab sellele kirjeldusele kaasa, kuid ei vii seda lõpuni.