SSL VPN ala TLS bilgarria? Konparatu huts egin zuen muga

Bi diseinuk TLS 443 portuan exekuta dezakete eta horrekin erabat desberdinak diren gauzak esan. Bilgarri batek konfiguratutako konexio bat babesten du tokiko portu baten eta urrutiko backend baten artean. Sareko sarbideko diseinu batek hautatutako trafikoa garraiatzen du eta bezeroak zer har dezakeen aldatzen du. Egin beheko lau egiaztapenak ordenan eta zein dagoen ikusten jakingo duzu, eta hori, normalean, nahikoa da zein geruza huts egin duen jakiteko.

Hasi benetan konfiguratu duzun konexioarekin

Idatzi aurrealdea eta atzealdea produktuak alderatu aurretik. Bilgarri batek tokiko helbide batean entzuten du eta urrutiko batera birbidaltzen du, edo urrutiko aldean programa bat abiarazten du, eta pare hori da haren kontratu osoa. Bezeroaren beste aplikazioek ez dute horren berri ezer, zuk haietara bideratzen ez badituzu. Hori ez da tresnaren akatsa, horretarako da tresna.

Sare-diseinu baten kontratua desberdina da, eta bideetan eta politikan adierazten da, ez portu-pare batean.

Ohartu bi deskribapenetatik zein datorren zure diagramarekin bat. Erantzuna erdian ziurtagiria duen portu-kartografia bat bada, bilgarria duzu, produktuaren izenak VPN esaten badu ere. Erantzuna tunel-interfaze bat eta bide-aldaketak badira, sare-diseinua duzu, 443an exekutatzen bada ere.

Egiaztatu bilgarria zerekin konektatzen den

Irakurri entzuteko eta konektatzeko ezarpenak eta jarraitu backend errealeraino. Datu-baseko portu batera birbidaltzen duen bilgarri batek ez du web-aplikaziorik irekitzen, eta programa bat exekutatzen duen bilgarri batek programa hori abiarazten du, ostalariak exekutatzen duen beste guztia argitaratu ordez. Backend-a da bilgarriak ezagutzen duen gauza bakarra.

Ondoren erabaki birbidaltzen den korrontea testu arrunta den TLS amaitzean. Inguratutako konexioak bi bilgarrien arteko segmentua babesten du, eta urrutiko bilgarriaren ondoren gertatzen dena aparteko kontua da. Horregatik da batzuetan zentzuzkoa bere babesa duen zerbait inguratzea, eta beste batzuetan mugitzen diren pieza gehiago baino ez. Ikuskatu hurrengo jauzia, bi erantzunetako bat suposatu ordez.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Lehen komandoak bezero bati benetan eskaintzen zaion ziurtagiria erakusten du, eta bigarrenak ostalarian zer entzuten duen erakusten du. Alderatu ziurtagiri-izen hori espero zenuenarekin beste ezer irakurri aurretik.

Egiaztatu diseinuak zer trafiko garraiatzen duen

Sareko sarbideko diseinuek hautatutako trafikoa garraiatzen dute eta bezeroaren bideratze eta sarbide-politikarekin integratzen dira. Onarpena ez da baimena, beraz autentifikatutako konexio batek oraindik erabaki behar du ze baliabide har ditzakeen. Bezerorik gabeko atari bat hirugarren eredua da, onartutako eragiketak proxy bidez egiten dituena, inoiz tun interfaze gisa agertu gabe.

Produktuaren etiketak ez dizu esaten eredu horietako zein erosi duzun, eta portu-zenbakiak are gutxiago esaten du.

Geruza-pilaketa posible da eta ez luke konparaketa nahastu behar. Tunel-protokolo bat bera TLS barruan sar daiteke TCP antolamendu onartu batean, eta horrek geruza bat gehitzen dio tunelari, bilgarria tunel bihurtu gabe. Bere errendimendu- eta hutsegite-portaera duen diseinu-erabakia da, eta diagraman lerro bat merezi du. Erregistratu, eta gero alderatu azpiko ereduak, kanpoko bilgarria baino.

Egiaztatu huts egin zuen muga, ez etiketa

Idatzi huts egin zuen saiakera baten datuak: aurrealdeko helbidea, entzulea, bezeroak egiaztatu zuen identitatea, backend-helburua eta eskatutako eragiketa. Arrakasta duen eskuko keinua frogatzen du kanpoko TLS amaitu dela, eta ez du ezer esaten backend-ari buruz. Backend-aren ukapena aurrealdeko identitate-hutsegitea baino gertaera desberdina da, eta biak ez dira hobetzen bezeroari -verify_return_error kenduta. Alderatu antzekoa antzekoarekin, beste ostalari-izen edo portu baten bidezko arrakastak ez baitu erakusten baldintzak berak zirenik.

443 portua TLS bitarteko kaxen bidez pasatzeko konbentzio bat da. Ez du trafiko arbitrarioa politika-gailu bati web-eskaera balitz bezala egiten.

Amaitu esaldi batekin: mutur-parea, zer garraiatzen den, ze aplikaziok erabiltzen duten eta helmugak ze baimen ezartzen duen aipatzen dituena. Lau hutsune horiek bete ezin dituen diseinua ez dago amaituta, bere etiketak dioena dioela ere. Esaldi hori da, halaber, diseinua suebakiaren jabe denari azaltzeko modurik azkarrena.