SSL VPN of TLS-omhulsel? Ferlykje de grins dy't mislearre

Twa ûntwerpen kinne TLS op poarte 443 rinne litte en dêrmei hiel ferskillende dingen betsjutte. In omhulsel beskermet ien konfigurearre ferbining tusken in lokaal poarte en in fiere backend. In netwurktoegong-ûntwerp ferfiert selektearre ferkear en feroaret wat de klant berikke kin. Wurkje de fjouwer kontrôles hjirûnder yn folchoarder ôf en jo witte hokker fan 'e beide jo sjogge, wat meast genôch is om te witten hokker laach mislearre.

Begjin mei de ferbining dy't jo wier konfigurearre hawwe

Skriuw de foarkant en de efterkant op foardat jo produkten ferlykje. In omhulsel harket op in lokaal adres en stjoert troch nei in fier, of start in programma oan 'e fiere kant, en dat pear is syn hiele kontrakt. De oare applikaasjes fan 'e klant witte dêr neat fan, útsein as jo se derop rjochtsje. Dat is gjin tekoart fan it ark, dêr is it ark foar.

It kontrakt fan in netwurkûntwerp is oars, en it wurdt útdrukt yn rûtes en belied, net yn in poartpear.

Merk op hokker fan dy twa beskriuwingen by jo diagram past. As it antwurd ien poartekaart is mei in sertifikaat yn 'e midden, hawwe jo in omhulsel sels as de produktnamme VPN seit. As it antwurd in tunnelinterface en rûtferoarings binne, hawwe jo in netwurkûntwerp sels as it op 443 rint.

Kontrolearje wêr't it omhulsel oan ferbynt

Lês de hark- en ferbiningsynstellingen en folgje se nei de echte backend. In omhulsel dat nei in databankpoarte trochstjoert, iepenet gjin webapplikaasje, en in omhulsel dat in programma útfiert, start dat programma ynstee fan al it oare te publisearjen dat de host rint. De backend is it iennige dat it omhulsel wit.

Beslis dêrnei oft de trochstjoerde stream platte tekst is as TLS einiget. In omhulle ferbining beskermet it segmint tusken de twa omhulsels, en wat der nei it fiere omhulsel bart, is in aparte fraach. Dêrom is it omhuljen fan iets dat al syn eigen beskerming hat soms sinfol en soms gewoan ekstra bewegende dielen. Undersykje de folgjende hop ynstee fan ien fan beide antwurden oan te nimmen.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

It earste kommando lit it sertifikaat sjen dat in klant wier oanbean wurdt, en it twadde lit sjen wat op de host harket. Ferlykje dy sertifikaatnamme mei dy't jo ferwachte hiene foardat jo eat oars lêze.

Kontrolearje hokker ferkear it ûntwerp ferfiert

Netwurktoegong-ûntwerpen ferfiere selektearre ferkear en yntegrearje mei de rûtering en it toegongsbelied fan 'e klant. Talitting is gjin autorisaasje, dus in autentisearre ferbining hat noch hieltyd in beslissing nedich oer hokker boarnen it berikke mei. In portaal sûnder klant is in tredde model dat stipe operaasjes trochstjoert sûnder ea as tun-interface te ferskinen.

It produketiket fertelt jo net hokker fan dy modellen jo kocht hawwe, en it poartenûmer fertelt noch minder.

Laechfoarming is mooglik en moat de ferliking net betize. In tunnelprotokol kin sels yn TLS wikkelje yn in stipe TCP-opstelling, wat in laach om 'e tunnel tafoeget sûnder it omhulsel ta de tunnel te meitsjen. Dat is in ûntwerpkar mei syn eigen prestaasje- en flatergedrach, en it fertsjinnet in rigel yn it diagram. Skriuw it op en ferlykje dan de ûnderlizzende modellen, net it bûtenste omhulsel.

Kontrolearje de mislearre grins, net it etiket

Skriuw de feiten op foar ien mislearre besykjen: foarkantadres, harker, de identiteit dy't de klant ferifiearre, it backend-doel en de frege operaasje. In slagge hânskodding bewiist dat it bûtenste TLS foltôge is en seit neat oer de backend. In ôfwizing fan 'e backend is in oar barren as in identiteitsflater oan 'e foarkant, en gjin fan beide betteret troch -verify_return_error by de klant wei te litten. Ferlykje lyk mei lyk, want súkses fia in oare hostnamme of poarte lit net sjen dat de betingsten itselde wiene.

Poarte 443 is in konvinsje dy't TLS troch tuskenkasten lit. It makket willekeurich ferkear net as in webfersyk foar in beliedsapparaat.

Einigje mei ien sin dy't it einpuntpear neamt, wat ferfierd wurdt, hokker applikaasjes it brûke en hokker tastimming de bestimming ôftwingsket. In ûntwerp dat dy fjouwer lege plakken net folje kin, is net klear, wat syn etiket ek beweart. Dy sin is ek de fluchste manier om it ûntwerp út te lizzen oan wa't de firewall hat.