Antaako TLS-kääre sinulle yksityisen verkon? Yleensä ei

TLS suojaa kanavan kahden päätepisteen välillä eikä kerro mitään siitä, mitkä palvelut ovat sen sisällä. Kääre muuttaa kanavan yhdeksi määritetyksi välittäjäksi, yhdelle kuuntelijalle, yhteen kohteeseen. Tuote, jota myydään nimellä SSL VPN, lisää yleensä käyttöliittymän, reititystaulun ja käyttömallin saman perusosan ympärille. Näiden kahden sekoittaminen on syy siihen, miksi toimiva tunneli luullaan verkkopääsyksi.

Mitä palvelukääre oikeastaan yhdistää

Kääre kuuntelee paikallista porttia ja välittää saapuvan liikenteen määritettyyn kohteeseen, joko isäntään ja porttiin tai paikalliseen ohjelmaan. Kohteen valitsee se, joka kirjoitti asetustiedoston, yksi kuuntelija kerrallaan. Paketin asentaminen ei luo reittejä, virtuaaliliitäntää eikä tavoitettavuutta millekään, mitä ei ole nimenomaisesti lueteltu. Lue asetukset ennen paketin kuvausta, koska kuvaus kattaa käyttöluokan ja tiedosto sinun tapauksesi.

Niinpä hyödyllinen kysymys kääreestä ei ole, salaako se, vaan mitä on sen rakentaman ketjun kummassakin päässä.

application -> local listener -> TLS connection -> remote listener -> configured backend

Lue ketju asetuksista, älä markkinointinimestä. Jokainen nuoli on erillinen verkkohyppy omalla osoitteellaan ja omilla käyttösäännöillään.

Selvitä, mihin TLS-kanava päättyy

Jos kääre päättää TLS:n, kaikki sen edelleen välittämä on uusi yhteys, jolla on uudet ominaisuudet. Virta voi olla selkokielistä tekstiä yksityisessä segmentissä tai se voi kuljettaa sisällään toista suojattua protokollaa. Kummankin olettaminen lukematta taustajärjestelmän asetuksia on se tapa, jolla ihmiset päätyvät siihen, että ulompi kerros suojaa tietoja, joita se ei enää näe. Välitetty hyppy ansaitsee oman tarkastelunsa omalla osoitteellaan ja portillaan.

Tarkista kuuntelija ja taustajärjestelmä erikseen, koska etuovella onnistuva kättely ei kerro mitään sen takana olevasta palvelusta.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Ensimmäinen komento näyttää, mikä prosessi omistaa portin ja millä osoitteella se kuuntelee. Toinen tulostaa varmenteen, jonka asiakas todella saa, ja se on identiteettitarkistus, jota portin numero ei voi korvata.

Mitä reititetty VPN lisää ja mitä kääre ei

Reititetty VPN asentaa liitännän, ottaa valittujen etuliitteiden omistuksen ja integroituu isännän reititykseen ja käyttöoikeuskäytäntöön. Jokainen koneen sovellus hyötyy tietämättä tunnelin olemassaolosta. Kääre antaa tämän kantaman yhdelle määritetylle kuuntelijalle ja pysähtyy siihen.

Pääsyn myöntäminen on jälleen erillistä. Asiakkaan todentava VPN tarvitsee yhä valtuutuksen, joka kertoo, mihin resursseihin asiakas voi päästä, ja vertaisen todentava kääre tarvitsee yhä taustajärjestelmän, joka valvoo omia käyttöoikeuksiaan.

On olemassa laillinen yhdistelmä: VPN-protokolla, jota kuljetetaan TLS-kääreen sisällä tarkoituksella tuetussa TCP-järjestelyssä. Se pinon kahden kerroksen päälle eikä tee kääreestä ja VPN:stä samanlaista objektia.

Vertaa rajaa, joka pettää

Kirjoita ylös etuosan osoite, kuuntelija, vertaisen identiteetti, taustajärjestelmän kohde ja sovelluksen toiminto ennen kuin muutat mitään. Vertaa sitten samanlaista samanlaiseen: onnistuminen toisen isäntänimen tai portin kautta ei todista, että palomuurin ja varmenteen ehdot olivat samat.

Hylättyä taustajärjestelmän pyyntöä ei pitäisi koskaan korjata kytkemällä etuosan identiteettivarmennusta pois päältä. Se vaihtaa diagnosoitavan valtuutusvirheen diagnosoimattomaan luottamusvirheeseen.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Nimen kiinnittäminen valittuun osoitteeseen erottaa nimien ratkaisemisen tavoitettavuudesta, ja se on yleensä nopein tapa selvittää, kumpi niistä kahdesta on rikki.

Vertailu, jolla on merkitystä, nimeää suojatun päätepisteparin, kuljetetun hyötykuorman, sitä käyttävät sovellukset ja kohteessa valvotun käyttöoikeuden. TLS osallistuu tähän kuvaukseen täydentämättä sitä.