Nola iristen den proxy publiko bat jatorri pribatu batera VPN baten bidez

Webgune bat tunel baten bidez argitaratzea eta erabiltzaileei VPN sarbidea ematea kable bera partekatzen duten bi konfigurazio desberdin dira. Lehenengoan, proxy alderantzizko publiko batek bisitariaren eskaera onartzen du eta tunelaren bidez jatorri batera bidaltzen du, inork zuzenean iritsi ezin dena. Bigarrenean, erabiltzaileak VPNera batu behar du aplikazioa eskuragarri egon aurretik. Bi deskribapenak nahastea da backend pribatu bat azkenean publikoki agerian geratzeko modua.

Diagrama batean berdinak diruditen bi eredu

Marraztu geziak ezer aukeratu aurretik. Argitalpen publikoaren eredu batek nabigatzailetik proxira doa HTTPS bidez, gero proxitik jatorrira tunelaren bidez, eta jatorriak ez du inoiz internetetik konexiorik onartzen. VPN soilaren ereduak bezerotik atebidera doa, eta aplikazioa bide horren barrutik soilik da eskuragarri. Erabiltzailearen eramangarria aplikazioarekin sare berean dago, eta hori da eredu horren funtsa osoa.

Ereduak desberdinak dira nor den autentifikatzen duena eta non. Lehenengoan, proxia sarrera publikoa da eta iristen den edozein eskaera bidaltzen du, etsai bat barne, haren gainean konfiguratutako politikaren arabera. Bigarrenean, eskuragarritasuna bera da atea, onarpen zakarra baina erreala.

Non gelditzen da TLS, eta zer frogatzen du benetan

Nabigatzailearen eta proxiaren arteko TLSak jauzi hori babesten du eta nabigatzaileari bisitatu nahi zuen gunea egiaztatzeko aukera ematen dio. Proxiak TLS amaitzen badu, eskaera irakurgarri dago prozesu horren barruan bidali aurretik. Jatorrirako bigarren TLS saio batek hurrengo jauzia babes dezake eta aplikazioaren muturra bereiz egiaztatu. Bi saioetako batek ere ez du erabakitzen zein pertsonak erabil dezakeen aplikazioa. Proxyan dagoen komodin ziurtagiri bat ere ez da bigarren jauzi horretara iristen.

Hau da jendeak zifratu hitzean biltzen duen zatia. Konfidentzialtasuna, osotasuna eta zerbitzariaren identitatea garraioaren propietateak dira; baimena aplikazioaren erabakia da. Tunel baten atzean dagoen helbide pribatu batek soketara nor irits daitekeen aldatzen du, ez nor saioa hasi dezakeen hara iritsitakoan.

Fida zaitez birbidalitako goiburuekin proxitik soilik

Bezeroaren helbidearen arabera erregistratzen edo baimena ematen duten aplikazioek proxia gehitzen duen goiburua irakurtzen dute normalean. Goiburu hori testua besterik ez da, beraz jatorrira zuzenean irits daitekeen edozerk nahi duen helbidea aldarrikatu dezake. Mugatu jatorria proxyaren tunel helbidea soilik konektu dadin, eta konfiguratu aplikazioa goiburua helbide horretatik soilik onar dezan.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Eskaera hori proxia ez den ostalari batetik arrakastatsua bada, jatorriak alde batera utzi beharko lukeen goiburu batean fidatzen da. Konpondu entzulea aplikazioa ukitu aurretik. Ukoa askoz emaitza hobea da helbide faltsua daraman erregistro-lerro bat baino.

Eduki jatorria leku zehatz batetik soilik eskuragarri

Lotu jatorriaren entzulea tunel helbidera edo itxi suebaki batekin proxira, eta gero egiaztatu zer ari den benetan entzuten. Komodin lotura batekin abiatutako zerbitzu batek ostalariak dituen interfaze guztietan onartzen ditu konexioak, ahaztu duzun bideragarria den batean barne. Entzumen taula da oinarrizko egia, ez aplikatu nahi zenuen konfigurazio fitxategia. Komodin lotura nahita egindakoa bada, suebakiak izan behar du hura murrizten duen osagaia.

ss -ltnp | grep -E ':(80|443)'

Egin berrikuspen bera kudeaketa interfazeetarako, ohiko ustekabeko esposizioa baitira. Gero idatzi bi ereduak bereiz: gune publikoa proxyaren bidez, eta kudeaketa interfazea tunelaren bidez soilik eskuragarri. Zerbitzaria VPN baten atzean dagoela dioen esaldiak ez du horietako ezer esaten.