Jout in TLS-omhulsel dy in privee netwurk? Meastentiids net

TLS beskermet in kanaal tusken twa einen en seit neat oer hokker tsjinsten der binnen sitte. In omhulsel makket dat kanaal ta ien konfigurearre trochstjoerder, foar ien harker, nei ien bestimming. In produkt dat as SSL VPN ferkocht wurdt, foeget meastentiids in ynterface, in rûtetabel en in tagongsmodel ta om deselde primitivel hinne. It ien mei it oare betiizje is hoe’t in wurkjende tunnel foar netwurktagong oansjoen wurdt.

Wat in tsjinstomhulsel echt ferbynt

In omhulsel harket op in lokaal poarte en stjoert troch wat oankomt nei in konfigurearre bestimming, itsij in host en poarte, itsij in lokaal programma. Dy bestimming wurdt keazen troch wa’t it konfiguraasjebestân skreau, ien harker per kear. It ynstallearjen fan it pakket makket gjin rûtes, gjin firtuele ynterface en gjin berikberens foar wat dan ek dat net eksplisyt neamd is. Lês de konfiguraasje foar de pakketbeskriuwing, want de beskriuwing beslacht in klasse fan gebrûk en it bestân beslacht dat fan dy.

Dat is de nuttige fraach oer in omhulsel net oft it fersiferet, mar wat oan elk ein fan ’e keatling stiet dy’t it bout.

application -> local listener -> TLS connection -> remote listener -> configured backend

Lês dy keatling út ’e konfiguraasje en net út ’e marketingnamme. Elke pylk is in aparte netwurksprong mei syn eigen adres en syn eigen tagongsregels.

Fyn wêr’t it TLS-kanaal einiget

As it omhulsel TLS beëiniget, is alles wat it fierder trochstjoert in nije ferbining mei nije eigenskippen. De stream kin platte tekst wêze op in privee segmint, of it kin in oar beskerme protokol binnenyn drage. Ien fan beide oannimme sûnder de konfiguraasje fan ’e backend te lêzen is hoe’t minsken ta de konklúzje komme dat de bûtenste laach gegevens beskermet dy’t it nea wer sjocht. De trochstjoerde sprong fertsjinnet syn eigen ynspeksje, op syn eigen adres en poarte.

Kontrolearje de harker en de backend apart, want in hânskodzjen dat by de foardoar slagget seit neat oer de tsjinst der efter.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

It earste kommando lit sjen hokker proses de poarte besit en op hokker adres it harket. It twadde prints it sertifikaat dat de klant echt krijt, en dat is de identiteitskontrôle dy’t in poartenûmer net ferfange kin.

Wat in rûtearre VPN tafoeget en in omhulsel net

In rûtearre VPN ynstallearret in ynterface, nimt eigendom fan selektearre foarheaksels en yntegrearret mei it rûten en it tagongsbelied fan ’e host. Elke applikaasje op ’e masine hat der foardiel fan sûnder te witten dat de tunnel bestiet. In omhulsel jout dat berik oan ien konfigurearre harker en hâldt dêr op.

Talitting is wer apart. In VPN dy’t in klant autentisearret hat noch altyd in autorisaasje nedich dy’t seit hokker boarnen de klant berikke mei, en in omhulsel dat in peer autentisearret hat noch altyd in backend nedich dy’t syn eigen tastimmingen hanthavent.

Der is in legitime kombinaasje: in VPN-protokol dat binnen in TLS-omhulsel droegen wurdt op in bewust stipe TCP-opstelling. Dat stapelt twa lagen, en it makket it omhulsel en de VPN net itselde soarte objekt.

Fergelykje de grins dy’t mislearret

Skriuw it front-end-adres, de harker, de identiteit fan ’e peer, it backend-doel en de applikaasje-operaasje op foar’t do wat feroarest. Fergelykje dan itselde mei itselde: in sukses fia in oare hostnamme of poarte bewissiget net dat de betingsten fan ’e brânmuorre en it sertifikaat identyk wiene.

In wegere backend-fersyk moat nea reparearre wurde troch de front-end-identiteitsferifikaasje út te setten. Dat ruilet in diagnoasjebare autorisaasjeflater foar in net-diagnoasjebare fertrouwensflater.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

It fêstmeitsjen fan ’e namme oan in keazen adres skiedt namme-oplossing fan berikberens, wat meastentiids de fluchste manier is om te sjen hokker fan ’e twa stikken is.

De fergeliking dy’t ta saak docht neamt it beskerme einpuntpear, de droegen lading, de applikaasjes dy’t it brûke en de tastimming dy’t by de bestimming hanthavene wurdt. TLS draacht by oan dy beskriuwing sûnder dy te foltôgjen.