TLS bilgarri batek sare pribatua ematen dizu? Normalean ez

TLSek bi muturren arteko kanal bat babesten du eta ez du ezer esaten barruan zein zerbitzu dauden. Bilgarri batek kanal hori konfiguratutako birbidaltzaile bakarra bihurtzen du: entzule bat, helmuga bat. SSL VPN gisa saltzen den produktu batek normalean interfaze bat, ibilbide-taula bat eta sarbide-eredu bat gehitzen ditu primitibo beraren inguruan. Biak nahastea da tunel funtzional bat sareko sarbidetzat hartzeko modua.

Zer konektatzen du benetan zerbitzu-bilgarri batek

Bilgarri batek portu lokal batean entzuten du eta iristen dena konfiguratutako helmugara birbidaltzen du, bai host eta portu batera, bai programa lokal batera. Helmuga hori konfigurazio-fitxategia idatzi zuenak aukeratzen du, entzule bat aldiko. Paketea instalatzeak ez du ibilbiderik, interfaze birtualik eta esplizituki zerrendatuta ez dagoen ezerentzako irisgarritasunik sortzen. Irakurri konfigurazioa paketearen deskribapena baino lehen, deskribapenak erabilera-mota bat estaltzen duelako eta fitxategiak zurea estaltzen duelako.

Beraz, bilgarri bati buruzko galdera erabilgarria ez da zifratzen duen, baizik eta eraikitzen duen katearen mutur bakoitzean zer dagoen.

application -> local listener -> TLS connection -> remote listener -> configured backend

Irakurri kate hori konfiguraziotik, eta ez marketin-izenetik. Gezi bakoitza bere helbidea eta bere sarbide-arauak dituen sare-jauzi bereizia da.

Aurkitu non amaitzen den TLS kanala

Bilgarriak TLS amaitzen badu, aurrerago birbidaltzen duen guztia propietate berriak dituen konexio berria da. Fluxua testu soila izan daiteke segmentu pribatu batean, edo beste protokolo babestu bat eraman dezake barruan. Bi horietako edozein suposatzea backendaren konfigurazioa irakurri gabe da jendeak kanpoko geruzak inoiz berriro ikusten ez dituen datuak babesten dituela ondorioztatzeko modua. Birbidalitako jauziak bere ikuskapen propioa merezi du, bere helbidean eta portuan.

Egiaztatu entzulea eta backenda bereizita, sarrerako atean arrakastatsua den esku-ukaldi batek ez baitu ezer esaten atzean dagoen zerbitzuaz.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Lehenengo komandoak erakusten du zein prozesuk duen portua eta zein helbidetan entzuten duen. Bigarrenak bezeroak benetan jasotzen duen ziurtagiria inprimatzen du, eta hori da portu-zenbaki batek ordezkatu ezin duen identitate-egiaztapena.

Zer gehitzen duen bideratutako VPN batek eta bilgarri batek ez

Bideratutako VPN batek interfaze bat instalatzen du, hautatutako aurrizkien jabetza hartzen du eta hostaren bideratze- eta sarbide-politikarekin integratzen da. Makinako aplikazio bakoitzak onura ateratzen du tunela badagoela jakin gabe. Bilgarri batek irismen hori konfiguratutako entzule bakarrari ematen dio eta han gelditzen da.

Onarpena berriro bereizia da. Bezero bat autentifikatzen duen VPN batek oraindik baimen bat behar du, bezeroak zein baliabideetara irits daitekeen esaten duena, eta pare bat autentifikatzen duen bilgarri batek oraindik backend bat behar du, bere baimenak betearazten dituena.

Konbinazio zilegi bat dago: TLS bilgarri baten barruan eramandako VPN protokolo bat, nahita onartutako TCP antolamenduan. Horrek bi geruza pilatzen ditu, eta ez du bilgarria eta VPNa objektu mota bera bihurtzen.

Konparatu huts egiten ari den muga

Idatzi aurrealdeko helbidea, entzulea, parearen identitatea, backendaren helburua eta aplikazioaren eragiketa ezer aldatu aurretik. Ondoren alderatu antzekoak antzekoekin: beste host-izen edo portu baten bidezko arrakastak ez du frogatzen suebakiaren eta ziurtagiriaren baldintzak berdinak zirenik.

Backendari egindako eskaera baztertu bat ez litzateke inoiz konpondu behar aurrealdeko identitate-egiaztapena desaktibatuta. Horrek diagnostikagarria den baimen-hutsegite bat diagnostikaezina den konfiantza-hutsegite baten truke aldatzen du.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Izena hautatutako helbide batera lotzeak izenen ebazpena irisgarritasunean bereizten du, eta hori izan ohi da bietatik zein dagoen hautsita jakiteko modurik azkarrena.

Garrantzia duen alderaketak babestutako mutur-parea, garraiatutako karga, erabiltzen duten aplikazioak eta helmugan betearazten den baimena izendatzen ditu. TLSek deskribapen horri egiten dio ekarpena, baina ez du osatzen.