VPN از نوع TLS در برابر IPsec: پنج فیلدی که ارزش بررسی دارند
یک VPN از نوع TLS و یک VPN از نوع IPsec را بر پایه انتشار، نسخه پروتکل، بسته، هویت همتا و دامنه در معرض، به‌همراه نتیجه شکستی که واقعاً پیکربندی کرده‌اید مقایسه کنید.
رتبه‌بندی VPNهای TLS در برابر VPNهای IPsec بر پایه خانواده پروتکل به پرسشی پاسخ می‌دهد که هیچ‌کس نپرسیده است و معمولاً به ساختاری اشاره می‌کند که هر دو خانواده سال‌ها پیش رهایش کردند. آنچه یک بازبین واقعاً می‌تواند ارزیابی کند حفاظت مذاکره‌شده، هویت همتا، مدل کارخواه و سرویس در معرض است. این چهار چیز در یک استقرار دیده می‌شوند و هیچ‌یک از برچسب محصول برنمی‌آید. پنج فیلد بخواهید و گفت‌وگو مشخص می‌شود.
پنج فیلد، و برچسب یکی از آن‌ها نیست
فیلد نخست نسخه نرم‌افزار پشتیبانی‌شده است، زیرا توصیف پروتکل بدون نسخه یک بروشور است. دومی نسخه مذاکره‌شده پروتکل است که تعیین می‌کند کدام ساختارها اصلاً در دسترس‌اند. سومی بسته حفاظتی است، چهارمی روش احراز هویت برای همتا و کاربر، و پنجمی دامنه دسترسی‌ای است که محصول پس از پذیرش می‌دهد.
برچسب VPN از نوع SSL دست‌کم سه محصول متفاوت را پوشش می‌دهد: کارخواه کامل شبکه، پروکسی برنامه و دروازه قدیمی مبتنی بر مرورگر. آن‌ها سرویس‌های متفاوت را در معرض می‌گذارند و متفاوت شکست می‌خورند، پس برچسب نمی‌تواند جای فیلد دامنه را بگیرد.
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
رمزنگاری احرازشده واقعاً چه چیزی را تغییر می‌دهد
TLS 1.3 رمزنگاری احرازشده را الزامی می‌کند، که ساختار قدیمی‌تر MAC-then-encrypt را از پروتکل حذف می‌کند نه اینکه اختیاری بگذارد. IPsec ESP هم به همان مدت بسته‌های رمزنگاری احرازشده داشته است و AES-GCM در RFC خودش تعریف شده است. در هر دو خانواده تضمین از بسته مذاکره‌شده می‌آید نه از نام خانواده، و به همین دلیل فهرست فیلدها با نسخه آغاز می‌شود. بازبینی که نمی‌تواند بسته را نام ببرد چیزی برای ارزیابی ندارد.
به همین دلیل مقایسه تاریخی گمراه‌کننده است. استقراری که به نسخه قدیمی TLS با بسته CBC سنجاق شده و دیگری که TLS 1.3 را با بسته AEAD اجرا می‌کند وضعیت امنیتی یکسانی ندارند، هرچند هر دو VPN از نوع TLS هستند. همین شکاف در سمت IPsec میان بسته مدرن ESP و ترکیبی قدیمی وجود دارد.
مقادیر مذاکره‌شده را بخوانید نه پیکربندی‌ای که در نظر داشتید. فرمان‌های زیر نشان می‌دهند یک نقطه پایانی زنده و یک تونل زنده واقعاً بر چه چیزی توافق کردند.
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasاگر نقطه پایانی نخواهد بر سر TLS 1.3 مذاکره کند، این یک یافته است نه یک ترجیح. اگر تونل بسته‌ای را فهرست کند که انتظارش را نداشتید، پیکربندی مهم همان است که همتاها انتخاب کردند، نه آن یکی که در الگو است.
هویت همتا پرسشی جداگانه است
رمزنگاری بدون همتای تأییدشده ترافیک را از ناظران محافظت می‌کند و آن را به هر کسی که به اتصال پاسخ داده تحویل می‌دهد. احراز هویت همتا می‌پرسد چه هویتی انتظار می‌رود، چه ماده اعتمادی آن را تأیید می‌کند، و کارخواه وقتی پاسخ نمی‌خواند چگونه رفتار می‌کند. زنجیره گواهی، کلید سنجاق‌شده و راز از پیش مشترک سه پاسخ متفاوت با سه هزینه عملیاتی متفاوت‌اند.
سپس همان پرسش‌ها را درباره کاربر یا دستگاه بپرسید. دروازه‌ای که ماشین را احراز می‌کند و هر کاربری را می‌پذیرد، یا برعکس، موضع مشخصی دارد که باید نوشته شود نه فرض. مجوزهای منابع که پس از پذیرش اعمال می‌شوند بخشی از همان فیلدند، زیرا احراز هویت مجوزدهی نیست.
حفظ بررسی نام میزبان و گواهی مهم‌تر از آشنایی پنجره ورود است. کارخواهی که برای نادیده گرفتن تأیید پیکربندی شده، تنها گامی را برداشته که دروازه شما را از بدلی متقاعدکننده جدا می‌کند.
مرزی که محصول در معرض می‌گذارد
دروازه بدون کارخواه عملیات برگزیده برنامه را از میان دروازه واسطه می‌کند، بنابراین کاربر به یک رابط می‌رسد نه به یک شبکه. کارخواه تونل کامل هر چیزی را حمل می‌کند که مسیرها و سیاست پالایشش برمی‌گزینند، که سطحی بسیار بزرگ‌تر است. مقایسه این دو بر پایه قدرت پروتکل تفاوت در آنچه مهاجم از طریق آن‌ها می‌تواند برسد را از دست می‌دهد. یکی رابط برنامه را در معرض می‌گذارد و دیگری شبکه مسیریابی‌شده را، و هر دو بررسی‌های متفاوتی می‌خواهند.
بپرسید کدام سرویس در معرض است، کدام عملیات مجاز است و خود دروازه به چه چیزی گوش می‌دهد. رابط مدیریتی که از همان نشانی دروازه کاربران در دسترس است یک یافته استقرار است و هیچ انتخاب پروتکلی آن را جبران نمی‌کند.
دامنه به ازای هر برنامه سطح را بیشتر تنگ می‌کند و رفتار شکست را هم هنگام افتادن تونل تغییر می‌دهد. طرحی که دسترسی تونل کامل را فرض می‌کند به روش‌هایی می‌شکند که طرح به ازای هر برنامه نمی‌شناسد، و بار پشتیبانی از پی می‌آید.
نتیجه شکست و چرخه عمر را تعیین کنید
آنچه هنگام نبود احراز هویت یا حفاظت رخ می‌دهد تصمیم سیاستی است که به بازبینی تعلق دارد. نتیجه مسدود و بازگشت مستقیم اعلام‌نشده پیامدهای متفاوتی دارند و تفاوت در فهرست ویژگی‌ها نامرئی است. رفتار مورد نظر را کنار منبعی که از آن حفاظت می‌کند بنویسید.
چرخه عمر وصله و پشتیبانی دروازه، ویژگی‌های بیرونی فعال‌شده آن و مسیر به‌روزرسانی کارخواهان را بگنجانید. انتخاب درست پروتکل یک سرویس بد مستقرشده را ایمن نمی‌کند و بیشتر رخدادها در همان شکاف زندگی می‌کنند نه در بسته.
پنج فیلد، سیاست شکست و مالک چرخه عمر را در یک صفحه بنویسید. آن صفحه یک بازبینی است؛ مقایسه خانواده‌های پروتکل یک نظر است.