TLS natiboa, SSH birbidalketa edo VPN hodeiko zerbitzu baterako

Galdera gutxitan da bi hodeiko makinen artean zerbait zifratu behar den; galdera da zein interfaze zifratzen duzun eta nork egiaztatzen duen norberaren identitatea. Elkarrizketa hauek zerbitzutik hasten ditut, sare-diagramatik beharrean, zerbitzuak badakielako zer behar duen. Hiru mugak estaltzen dituzte kasu gehienak: aplikazioaren TLS propioa, SSH bidez birbidalitako TCP ataka bakarra eta parte-hartzaile bakoitzari helbide bat ematen dion gainjartze bideratua. Ez dira indarraren arabera sailkatzen, arazoaren zenbat estaltzen dutenaren arabera baizik.

Hasi zerbitzuarekin, ez sarearekin

Joan prozesutik kanpora. Zein protokolo hitz egiten du, zein izen egiaztatuko du bezeroak eta nork dezake konexioa ireki? Hiru erantzun horiek aukerak azkarrago baztertzen dituzte edozein konparazio-taula baino, eta zerbitzuaren konfigurazioak berak minutu pare batean erantzuten ditu.

Hartu 8443 atakan HTTPS zerbitzatzen duen barne-API txiki bat, api.internal.example-rako ziurtagiri batekin. Ostalarian ss -ltnp-ek erakusten du zeri lotzen zaion, eta openssl s_client -connect 127.0.0.1:8443 -verify_hostname api.internal.example-ek erakusten du ziurtagiria bezeroak benetan erabiliko duen izenerako baliozkoa den. Biak osasuntsu badaude, zerbitzuak bere korrontea babes dezake eta irisgarritasuna besterik ez da geratzen. Hori sare bat eraikitzea baino askoz arazo txikiagoa da.

1. urratsa: zerbitzuak bere burua babesten al du?

Hau da egokitzen denean hartzeko aukera, eta taldeek uste dutena baino sarriago egokitzen da. Zerbitzuaren zifratzeak bezeroaren eta zerbitzariaren arteko bide osoa estaltzen du, tartean dauden jauzi guztiak barne, eta erdialdearen inguruko tunel batek ere ez du hobetzen. Ezarri espero den izena eta konfiantza modu esplizituan, bezeroaren biltegi lehenetsian kasualitatez dagoenaren menpe egon beharrean.

Zifratzea eta irisgarritasuna kontrol bereiziak izaten jarraitzen dute, eta biak batzea da aukera hau okertzen den tokia. Muga gabeko entzule publiko bateko TLS zerbitzu batek edonoren konexio-saiakerak onartzen ditu oraindik, beraz entzulea eta sare-arauak karga babestuta egotearen independenteki mugatu behar dira. Ondoren egiaztatu mendekotasunak, TLS gaineko API batek ez baitu ezer esaten aurkikuntza-puntuari, administrazio-atakari edo alboan dagoen transferentzia masiboko kanalari buruz. Bakoitzak bere erantzuna behar du, eta anaia babesgabe bat nahikoa da muga osoa fikzio bihurtzeko.

2. urratsa: TCP ataka bat al da baldintza osoa?

Baldintza benetan TCP ataka bat denean, birbidalketa da funtzionatzen duen gauzarik txikiena. SSH birbidalketa lokal batek ataka hori lehendik dagoen konexio autentifikatu baten bidez eramaten du.

Forma ssh -N -L 8443:127.0.0.1:8443 [email protected] da, eta axola duen xehetasuna helburu-helbidea da: 127.0.0.1 urruneko aldean ebazten da, beraz zerbitzurako konexioa bastioitik irekitzen da, ez zure ordenagailu eramangarritik. Lotu tokiko entzulea estuki -L 127.0.0.1:8443:... gisa, zerbitzua ustekabean zure tokiko sarera argitaratu ez dezazun. Zerbitzariaren aldean, mugatu kontuak zer birbidal dezakeen, bezeroaren portaera onarekin fidatu beharrean. PermitOpen, AllowTcpForwarding local eta GatewayPorts no lehenetsia dira errele orokor bat kanal zehatz bihurtzen duten hiru ezarpenak.

Kontratua estua da bi norabideetan. SSH-k bere kanala babesten du, eta bastioitik beste aplikazio baterako jauzi gehigarriak bere babesa behar du. Bastioiaren loopbackean soilik entzuten duen zerbitzuak oso bestelako esposizioa du beste sare batetik iristen denak, eta birbidalketak ez du hori aldatzen. Mantendu aplikazioaren autentifikazioa eta TLS egiaztapenak, tunela haien ordezko gisa tratatu beharrean.

Hau ondo funtzionatzen du jabe bakarreko konexio baterako. Eskalan sistema bihurtzen da: tokiko ataka-gatazkak, gainbegiratzea, gakoen errotazioa eta berrabiarazi ondoren birbidalketa nor hasiko duen galdera.

3. urratsa: bideratzea al da benetako baldintza?

Zerrenda hori aukera txikienaren kostu zintzoa da, eta horregatik taldeek azkenean ahaztutako atzeko planoko komando batzuk kudeatutako zerbaitengatik ordezkatzen dituzte. Ordezkoak ez du automatikoki VPN bat esan nahi. Baldintza TCP ataka bat bada oraindik, jabe dokumentatua duen gainbegiratutako birbidalketa gainjartze bat baino merkeagoa da martxan jartzeko, eta ikus ditzakezun moduetan huts egiten du. Neurtu ustiapen-jabetza dotorezia neurtu aurretik.

Bideratzea erantzun zuzena bihurtzen da bideratzea baldintza denean. IP konektibitate arrunta behar duten hainbat aplikazio, TCP birbidalketak eraman ezin dituen protokoloak edo ostalarien artean mugitzen diren zerbitzuak norabide berean seinalatzen dute.

Gainjartze batek helbidea eta bidea ematen dizkie parte-hartzaileei, eta orduan hasten da benetako lana: gainjarri ez diren tarteak, bideen jabetza, DNS, izen-ematea, ezeztapena eta pare bat desagertzen denean zer gertatzen den. Horietako ezer ez da helbidearekin batera etortzen. Gainjartzean onartutako pare bat ez dago automatikoki baimenduta helmugako eragiketa bakoitzerako, beraz zerbitzu-mailako autentifikazioa geratzen da.

Zer duzun geroago

Bi gauza dagozkio uzten duzun erregistroari. Lehenengoa bezeroak egiaztatzea espero den identitatea da, muga horietako bakoitzak isil-isilik okertzen baita izen-egiaztapen bat lasaitzen denean zerbait funtziona dezan. Bigarrena kentzeko urratsa da: zein gako, zein arau edo zein bide desagertzen den sarbidea amaitzean, eta nork egiten duen.

Ibilaldia hasi zen tokian amaitzen da, zerbitzuan. Aukeratu trafiko erreala estaltzen duen eta egiaztatu nahi zenituen pareak egiaztatzen dituen muga, eta gero idatzi sarbidea nola eguneratzen, gainbegiratzen eta kentzen den. OpenSSH erreferentzia da kontratu estua agindu aurretik birbidalketa-aukerak berresteko lekua. Kentzeko urratsa esaldi bakarrean deskribatu ezin baduzu, muga arazoa baino handiagoa da.