SSL VPN vai TLS-kääre? Vertaa rajaa, joka petti

Kaksi suunnittelua voi ajaa TLS:ää portissa 443 ja tarkoittaa sillä täysin eri asioita. Kääre suojaa yhden määritetyn yhteyden paikallisen portin ja etäisen backendin välillä. Verkkopääsyn suunnittelu kuljettaa valittua liikennettä ja muuttaa sitä, mihin asiakas voi päästä. Käy alla olevat neljä tarkistusta järjestyksessä läpi ja tiedät, kumpaa katsot, mikä yleensä riittää siihen, että tiedät minkä kerroksen kohdalla epäonnistuttiin.

Aloita yhteydestä, jonka todella määritit

Kirjoita etu- ja takaosa muistiin ennen tuotteiden vertailua. Kääre kuuntelee paikallisessa osoitteessa ja välittää etäiseen tai käynnistää ohjelman etäpuolella, ja tuo pari on koko sen sopimus. Asiakkaan muut sovellukset eivät tiedä siitä mitään, ellet osoita niitä siihen. Se ei ole työkalun puute, sitä varten työkalu on.

Verkkosuunnittelun sopimus on erilainen, ja se ilmaistaan reiteissä ja politiikassa, ei porttiparissa.

Huomaa, kumpi kuvauksista vastaa kaaviotasi. Jos vastaus on yksi portin kartoitus, jonka keskellä on varmenne, sinulla on kääre, vaikka tuotteen nimi sanoisi VPN. Jos vastaus on tunnelirajapinta ja reittimuutokset, sinulla on verkkosuunnittelu, vaikka se toimisi portissa 443.

Tarkista, mihin kääre yhdistää

Lue kuuntelu- ja yhdistämisasetukset ja seuraa ne todelliseen backendiin. Tietokantaporttiin välittävä kääre ei avaa verkkosovellusta, ja ohjelman käynnistävä kääre käynnistää juuri sen ohjelman sen sijaan, että julkaisisi kaiken muun, mitä isäntä ajaa. Backend on ainoa, jonka kääre tuntee.

Päätä sitten, onko välitetty virta selväkielistä, kun TLS päättyy. Kääritty yhteys suojaa kahden kääreen välisen segmentin, ja se, mitä etäisen kääreen jälkeen tapahtuu, on erillinen kysymys. Siksi jo oman suojauksensa kantavan asian kääriminen on joskus järkevää ja joskus vain ylimääräisiä liikkuvia osia. Tarkista seuraava hyppy sen sijaan, että olettaisit jomman kumman vastauksen.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Ensimmäinen komento näyttää varmenteen, joka asiakkaalle todella tarjotaan, ja toinen näyttää, mikä isännässä kuuntelee. Vertaa sitä varmenteen nimeä odotettuun ennen kuin luet mitään muuta.

Tarkista, mitä liikennettä suunnittelu kuljettaa

Verkkopääsyn suunnittelut kuljettavat valittua liikennettä ja integroituvat asiakkaan reititykseen ja pääsypolitiikkaan. Pääsy ei ole valtuutus, joten todennetulla yhteydellä on yhä tehtävä päätös siitä, mihin resursseihin se saa päästä. Asiakkaaton portaali on kolmas malli, joka välittää tuetut toiminnot koskaan esiintymättä tun-rajapintana.

Tuotteen etiketti ei kerro, minkä näistä malleista ostit, ja portin numero kertoo vielä vähemmän.

Kerrostaminen on mahdollista eikä sen pidä sekoittaa vertailua. Tunneliprotokola voidaan itse kääriä TLS:ään tuetussa TCP-järjestelyssä, mikä lisää kerroksen tunnelin ympärille tekemättä kääreestä tunnelia. Se on suunnittelupäätös, jolla on oma suorituskyky- ja vikakäyttäytyminen, ja se ansaitsee rivin kaaviossa. Kirjaa se ja vertaa sitten taustalla olevia malleja, älä ulointa käärettä.

Tarkista pettävä raja, älä etikettiä

Kirjaa yhden epäonnistuneen yrityksen tosiasiat: etupään osoite, kuuntelija, identiteetti, jonka asiakas vahvisti, backendin kohde ja pyydetty toiminto. Onnistunut kättely todistaa, että ulompi TLS valmistui, eikä kerro backendistä mitään. Backendin hylkäys on eri tapahtuma kuin etupään identiteettivirhe, eikä kumpikaan parane poistamalla -verify_return_error asiakkaasta. Vertaa samanlaista samanlaiseen, sillä onnistuminen toisen isäntänimen tai portin kautta ei osoita, että olosuhteet olivat samat.

Portti 443 on käytäntö, joka päästää TLS:n välikkeiden läpi. Se ei tee mielivaltaisesta liikenteestä verkkopyyntöä muistuttavaa käytäntölaitteelle.

Lopeta yhteen lauseeseen, joka nimeää päätepisteiden parin, mitä kuljetetaan, mitkä sovellukset sitä käyttävät ja mitä lupaa kohde valvoo. Suunnittelu, joka ei pysty täyttämään noita neljää aukkoa, ei ole valmis, mitä sen etiketti väittääkin. Se lause on myös nopein tapa selittää suunnittelu sille, joka omistaa palomuurin.