TLS VPN IPsec-en aurka: berrikustea merezi duten bost eremu

TLS VPNak IPsec VPNekin protokolo-familiaaren arabera sailkatzeak inork egin ez zuen galdera bati erantzuten dio, eta normalean bi familiek duela urte utzi zuten eraikuntza bat aipatzen du. Berrikusle batek benetan ebaluatu dezakeena negoziatutako babesa, parearen identitatea, bezeroaren eredua eta agerian utzitako zerbitzua dira. Lau gauza horiek hedapen batean ikusten dira, eta bat ere ez da produktuaren etiketatik dator. Eskatu bost eremu eta elkarrizketa zehatza bihurtzen da.

Bost eremu, eta etiketa ez da horietako bat

Lehen eremua onartutako software-bertsioa da, bertsiorik gabeko protokolo-deskribapena liburuxka bat delako. Bigarrena negoziatutako protokoloaren bertsioa da, zein eraikuntza dauden erabilgarri erabakitzen duena. Hirugarrena babes-suitea da, laugarrena parearen eta erabiltzailearen autentifikazio-metodoa, eta bosgarrena produktuak onarpenaren ondoren ematen duen sarbide-esparrua.

SSL VPN etiketa behintzat hiru produktu desberdin biltzen ditu: sare-bezero osoa, aplikazio-proxy bat eta nabigatzailean oinarritutako atari zaharra. Zerbitzu desberdinak agerian uzten dituzte eta modu desberdinean huts egiten dute, beraz etiketak ezin du esparru-eremua ordezkatu.

Zer aldatzen du benetan autentifikatutako zifraketa

TLS 1.3-k autentifikatutako zifraketa eskatzen du, eta horrek MAC-then-encrypt eraikuntza zaharragoa protokolotik kentzen du, hautazkoa utzi beharrean. IPsec ESP-k ere denbora berean izan ditu autentifikatutako zifraketa-suiteak, AES-GCM bere RFC propioan definitua. Bi familiaratan bermea negoziatutako suitetik dator, ez familiaren izenetik, horregatik hasten da eremu-zerrenda bertsio batekin. Suitea izendatu ezin duen berrikusleak ez du zer ebaluaturik.

Horregatik da historiko konparazioa engainagarria. TLS bertsio zahar batean CBC suitearekin finkatutako hedapena eta TLS 1.3 AEAD suitearekin exekutatzen duena ez dira segurtasun-jarrera bera, biak TLS VPN izan arren. Zatiketa bera dago IPsec aldean ESP suite moderno baten eta konbinazio zahar baten artean.

Irakurri negoziatutako balioak, ez zenuen asmoen konfigurazioa. Beheko komandoek erakusten dute zer adostu zuten benetan martxan dagoen muturreko puntu batek eta martxan dagoen tunel batek.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Muturreko puntuak TLS 1.3 negoziatu nahi ez badu, aurkikuntza bat da, ez lehentasun bat. Tunelak espero ez zenuen suite bat zerrendatzen badu, garrantzitsua den konfigurazioa pareek aukeratutakoa da, ez txantiloian dagoena.

Parearen identitatea galdera bereizia da

Egiaztatutako parerik gabeko zifraketak trafikoa behatzaileengandik babesten du eta konexioari erantzun zionari ematen dio. Parearen autentifikazioak galdetzen du zein identitate espero den, zein konfiantza-materialek egiaztatzen duen, eta nola jokatzen duen bezeroak erantzuna bat ez datorrenean. Ziurtagiri-katea, finkatutako gakoa eta aldez aurretik partekatutako sekretua hiru erantzun desberdin dira, hiru eragiketa-kostu desberdinekin.

Ondoren egin galdera berak erabiltzaileari edo gailuari buruz. Makina autentifikatu eta edozein erabiltzaile onartzen duen atariak, edo alderantziz, idatzi beharreko jarrera zehatza du, ez suposatu beharrekoa. Onarpenaren ondoren aplikatzen diren baliabide-baimenak eremu beraren parte dira, autentifikazioa ez delako baimena.

Ostalaritutako izenaren eta ziurtagiriaren egiaztapenak mantentzea garrantzitsuagoa da saio-hasierako leihoaren ezagutza baino. Egiaztapena alde batera uzteko konfiguratutako bezeroak zure ataria imitazio sinesgarri batetik bereizten duen urrats bakarra kendu du.

Produktuak agerian uzten duen muga

Bezerorik gabeko atariak hautatutako aplikazio-eragiketak atariaren bidez proxifikatzen ditu, beraz erabiltzaileak interfaze bat lortzen du, ez sare bat. Tunel osoaren bezeroak bere ibilbideek eta iragazki-politikak hautatzen dutena darama, gainazal askoz handiagoa. Biak protokoloaren indarraren arabera alderatzeak erasotzaileak haien bidez zer lor dezakeen ez du ikusten. Batek aplikazio-interfazea uzten du agerian, besteak bideratutako sarea, eta biek berrikuspen desberdinak eskatzen dituzte.

Galdetu zein zerbitzu dagoen agerian, zein eragiketa dauden baimenduta eta atariak berak zer entzuten duen. Erabiltzaile-atariaren helbide beretik eskura daitekeen kudeaketa-interfazea hedapen-aurkikuntza bat da, eta protokolo-hautapen batek ere ez du hori konpentsatzen.

Aplikazio bakoitzeko esparruak gainazala gehiago murrizten du, eta hutsegiteen portaera ere aldatzen du tunela erortzen denean. Tunel osoaren irismena suposatzen duen diseinuak aplikazio bakoitzeko diseinuak ezagutzen ez dituen moduetan hausten da, eta laguntza-karga atzetik dator.

Erabaki hutsegiteen emaitza eta bizitza-zikloa

Autentifikazioa edo babesa eskuragarri ez dagoenean gertatzen dena berrikuspenari dagokion politika-erabakia da. Blokeatutako emaitzak eta iragarri gabeko zuzeneko itzulerak ondorio desberdinak dituzte, eta aldea ikusezina da funtzio-zerrenda batean. Adierazi nahi den portaera babesten duen baliabidearen ondoan.

Sartu atariaren adabaki- eta laguntza-bizitza-zikloa, gaitutako kanpo-funtzioak eta bezeroen eguneratze-bidea. Protokolo-hautapen zuzenak ez du gaizki hedatutako zerbitzua seguru bihurtzen, eta intzidentzia gehienak hutsune horretan bizi dira, ez suitean.

Idatzi bost eremuak, hutsegite-politika eta bizitza-zikloaren jabea orrialde bakarrean. Orrialde hori berrikuspena da; protokolo-familien konparazioa iritzia da.