Miksi SSL VPN ja sivusto-sivusto-VPN eivät ole vastakohtia
SSL VPN ja sivusto-sivusto kuvaavat eri akseleita: kuka liittyy verkkoon ja miten tunneli rakennetaan. Molempien nimeäminen yhtä aikaa on kategoriavirhe.
Pyydä kahta ylläpitäjää kuvaamaan sama VPN, ja toinen saattaa vastata ”SSL VPN” samalla kun toinen sanoo ”sivusto-sivusto”, ikään kuin ne olisivat kilpailevia valintoja valikossa. Ne ovat vastauksia eri kysymyksiin, ja niiden kohteleminen vaihtoehtoina tuottaa vertailuja, joita ei voi ratkaista. Toinen tunniste kertoo, mitkä päätepisteet liitetään; toinen kertoo, mikä kuljettaa liikennettä niiden välillä. Pidä akselit erillään, niin suurin osa väittelystä katoaa.
Kaksi tunnistetta, kaksi erillistä kysymystä
Topologia vastaa siihen, kuka liittyy mihin. Etäkäyttöratkaisu liittää yksittäiset käyttäjät tai laitteet yhdyskäytävään, yleensä käyttäjäkohtaisella identiteetillä ja osoitevalikoimalla. Sivusto-sivusto-ratkaisu yhdistää kaksi verkkoa yhdyskäytävien kautta, joten kiinnostava identiteetti on vastapuolen yhdyskäytävä eikä näppäimistön ääressä oleva henkilö. Ne ovat erilaisia operatiivisia ongelmia aina osoitesuunnittelusta siihen, kuka voi peruuttaa pääsyn kello 2 yöllä.
Mekanismi vastaa siihen, miten tunneli rakennetaan ja todennetaan. IPsec IKEv2:n kanssa, TLS-pohjainen tuote, joka kuljettaa IP:tä sisällään, ja selaimeen päin oleva sovellusportaali ovat mekanismivalintoja, ja jokaisella on oma neuvottelunsa, salausvalikoimansa ja vikatilansa. Mikään niistä ei edellytä topologiaa, eikä topologia valitse mekanismia.
Laita kaksi akselia yhteen taulukkoon, niin sekaannus tulee näkyväksi, koska jokainen ruudukon solu voidaan täyttää. Mitä ruudukko ei voi tehdä, on kertoa, minkä yhdistelmän toimittajasi toimitti, koska tuotenimet puristavat molemmat akselit yhteen markkinointilauseeseen.
Mistä kategoriavirhe tulee
Toimittajat myivät ”SSL VPN:ää” vuosia ”IPsec VPN:n” vastakohtana, mikä sai mekanismien vertailun näyttämään topologiavalinnalta. Ilmaus on huonontunut myös omilla ehdoillaan, sillä nykyiset ratkaisut käyttävät tuettuja TLS-versioita ja SSL-nimi säilyy lähinnä tuoteluokkana.
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
Samasta puristumisesta seuraa kaksi toisiinsa liittyvää myyttiä. Ensimmäinen on, että IPsec tarkoittaa sivusto-sivusto-yhteyttä; IKEv2 suunniteltiin myös asiakas-yhdyskäytävä-suhteisiin, joten yksittäinen kannettava voi liittyä IPsecillä. Toinen on, että TLS-pohjainen tuote tarkoittaa vain etäkäyttöä; OpenVPN on rutiininomaisesti käytössä liikenteen kuljettamiseen kahden sivuston välillä, ja sen TLS:n käyttö keskittyy ohjauksen ja todennuksen vaihtoon eikä selainistuntoon.
Hyödyllinen testi mille tahansa kuvaukselle: jos yhden sanan vaihtaminen muuttaa sekä päätepisteet että protokollan, lause sekoittaa akselit. ”SSL VPN vastaan sivusto-sivusto” ei läpäise tätä testiä, koska ensimmäinen termi nimeää mekanismiperheen ja toinen topologian.
Kuvaile käyttöönotto niin, että sitä voi verrata
Kirjoita neljä kenttää ja täytä ne: päätepisteet, mekanismi, todennus ja käyttöpinnal. Toimipisteyhteys voi lukea IKEv2-yhdyskäytäväparina kahden nimetyn etuliitteen välillä sertifikaattitodennuksella ja ilman käyttäjätason portaalia. Etäkäyttöpalvelu voi lukea TLS-pohjaisena asiakkaana, joka jakaa osoitteet käyttäjittäin, vaatii toisen tekijän kirjautumisessa ja julkaisee vain sisäisen DNS-vyöhykkeen.
Nuo lauseet ovat vertailukelpoisia tavalla, jolla tuotenimet eivät ole. Kahta etäkäyttöratkaisua voidaan mitata samaa käyttäjätyönkulkua ja samaa peruutuspolkua vasten, ja kahta sivustojenvälistä ratkaisua samaa etuliiteluetteloa, liikennepolitiikkaa ja vikavaatimuksia vasten. Tunnisteet järjestävät vertailun; ne eivät korvaa sitä.
Terminologialla on myös julkaistu ankkuri. IETF:n VPN-terminologiaasiakirja erottaa useita palvelumalleja, mukaan lukien etäkäytön ja sivusto-sivusto-yhteyden, mekanismeista, joilla ne rakennetaan, ja juuri tämä ero jatkuvasti hukkuu.
Lue neuvoteltu protokolla, älä tuotenimeä
Laatikon tunniste ei vahvista, mihin käynnissä oleva tunneli on sitoutunut. Kysy vastapuolelta suoraan TLS-puolella ja lue protokollaversio ja salaus, jonka kättely tuotti, älä esitteen versiota.
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec-yhdyskäytävälle vastaava havainto tulee toteutuksen omasta tilatulosteesta, joka ilmoittaa käytössä olevat IKE- ja ESP-ehdotukset. Joka tapauksessa pointti on sama: mekanismiakseli on luettava elävästä istunnosta, koska asiakas ja yhdyskäytävä voivat neuvotella johonkin vanhempaan kuin kumpikaan ylläpitäjä odotti.
ipsec statusall | grep -E "IKE|ESP"Sen jälkeen jäljelle jäävät kysymykset, joihin mikään tunniste ei vastaa. Mitkä protokollaversiot hyväksytään yhä, miten yhdyskäytävän identiteetti validoidaan, mikä algoritmijoukko on sallittu, kuka valtuuttaa tietyn käyttäjän tiettyyn resurssiin ja mikä peruuttaa pääsyn, kun laite katoaa. Topologiakaavio ja mekanismin nimi ovat tuon listan alku, eivät sen korvike.
Pidä siis kaksi tunnistetta, mutta käytä niitä siihen, mitä ne ovat: lyhyt tapa sanoa, mitkä päätepisteet liitetään ja miten tunneli rakennetaan. Heti kun toista käytetään toisen poissulkemiseen, kuvaus on lakannut kuvaamasta mitään.