SSL VPN ou enveloppe TLS ? Comparez la frontière qui a échoué

Deux conceptions peuvent faire tourner TLS sur le port 443 et signifier des choses totalement différentes. Une enveloppe protège une connexion configurée entre un port local et un backend distant. Une conception d’accès réseau transporte un trafic sélectionné et change ce que le client peut atteindre. Faites les quatre vérifications ci-dessous dans l’ordre et vous saurez laquelle des deux vous regardez, ce qui suffit généralement à savoir quelle couche a échoué.

Commencez par la connexion que vous avez réellement configurée

Notez le frontal et le back-end avant de comparer des produits. Une enveloppe écoute sur une adresse locale et redirige vers une adresse distante, ou lance un programme du côté distant, et cette paire constitue tout son contrat. Les autres applications du client n’en savent rien, sauf si vous les dirigez vers elle. Ce n’est pas un défaut de l’outil, c’est à cela que sert l’outil.

Le contrat d’une conception réseau est différent, et il s’exprime en routes et en politique, non en une paire de ports.

Remarquez laquelle des deux descriptions correspond à votre schéma. Si la réponse est une correspondance de port avec un certificat au milieu, vous avez une enveloppe même si le nom du produit dit VPN. Si la réponse est une interface de tunnel et des changements de route, vous avez une conception réseau même si elle tourne sur le 443.

Vérifiez à quoi l’enveloppe se connecte

Lisez les paramètres d’écoute et de connexion et suivez-les jusqu’au backend réel. Une enveloppe qui redirige vers un port de base de données n’ouvre pas une application web, et une enveloppe qui exécute un programme lance ce programme au lieu de publier tout le reste de ce que l’hôte exécute. Le backend est la seule chose que l’enveloppe connaisse.

Décidez ensuite si le flux relayé est en clair une fois TLS terminé. Une connexion enveloppée protège le segment entre les deux enveloppes, et ce qui se passe après l’enveloppe distante est une question distincte. C’est pourquoi envelopper quelque chose qui porte déjà sa propre protection est parfois judicieux et parfois juste des pièces mobiles supplémentaires. Inspectez le saut suivant au lieu de supposer l’une ou l’autre réponse.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

La première commande montre le certificat réellement proposé à un client, et la seconde montre ce qui écoute sur l’hôte. Comparez ce nom de certificat à celui que vous attendiez avant de lire quoi que ce soit d’autre.

Vérifiez quel trafic la conception transporte

Les conceptions d’accès réseau transportent un trafic sélectionné et s’intègrent au routage et à la politique d’accès du client. L’admission n’est pas une autorisation, donc une connexion authentifiée a encore besoin d’une décision sur les ressources qu’elle peut atteindre. Un portail sans client est un troisième modèle qui relaie les opérations prises en charge sans jamais apparaître comme une interface tun.

L’étiquette du produit ne vous dit pas lequel de ces modèles vous avez acheté, et le numéro de port en dit encore moins.

La superposition est possible et ne doit pas brouiller la comparaison. Un protocole de tunnel peut lui-même être enveloppé dans TLS selon un agencement TCP pris en charge, ce qui ajoute une couche autour du tunnel sans transformer l’enveloppe en tunnel. C’est un choix de conception avec son propre comportement de performance et de défaillance, et il mérite une ligne dans le schéma. Notez-le, puis comparez les modèles sous-jacents plutôt que l’enveloppe extérieure.

Vérifiez la frontière défaillante, pas l’étiquette

Notez les faits d’une tentative échouée : adresse frontale, écouteur, l’identité que le client a vérifiée, la cible du backend et l’opération demandée. Une poignée de main réussie prouve que le TLS extérieur s’est achevé et ne dit rien du backend. Un rejet du backend est un événement différent d’un échec d’identité côté frontal, et aucun des deux ne s’améliore en retirant -verify_return_error du client. Comparez ce qui est comparable, car un succès via un autre nom d’hôte ou port ne montre pas que les conditions étaient les mêmes.

Le port 443 est une convention qui laisse passer TLS à travers les boîtiers intermédiaires. Il ne fait pas ressembler un trafic arbitraire à une requête web pour un dispositif de politique.

Terminez par une phrase qui nomme la paire d’extrémités, ce qui est transporté, quelles applications l’utilisent et quelle permission la destination applique. Une conception qui ne peut pas remplir ces quatre blancs n’est pas terminée, quoi qu’en dise son étiquette. Cette phrase est aussi le moyen le plus rapide d’expliquer la conception à qui possède le pare-feu.